🇰🇷 한글 설명
약국 POS PHP 스크립트의 /edit_medicine.php에서 u_medicine_name 파라미터를 통한 저장형 XSS 취약점입니다. 공격자가 악의적인 URL을 피해자에게 전송하여 JavaScript 코드를 실행할 수 있으며, 세션 쿠키 탈취 또는 사용자 권한으로 악의적 작업 수행이 가능합니다.
💡 쉬운 설명
약국 관리 프로그램에서 약 이름 입력 항목에 해커가 악성 코드를 삽입할 수 있는 보안 결함입니다. 이를 통해 사용자 정보 탈취나 무단 작업이 가능합니다.
🇺🇸 원문 (English)
Stored Cross-Site Scripting (XSS) vulnerability in Pharmacy POS PHP Script. This vulnerability allows an attacker to execute JavaScript code in the victim's browser by sending the victim a malicious URL using the u_medicine_name parameter in /edit_medicine.php. This vulnerability can be exploited to steal sensitive user data such as session cookies or to perform actions on behalf of the user.
📍 영향받는 시스템
Pharmacy POS PHP Script (버전 명시되지 않음, 모든 버전 의심)
⚔️ 공격 벡터
u_medicine_name 파라미터에 JavaScript 코드를 포함한 URL을 통한 stored XSS 공격
🛡️ 대응 방법
입력값 필터링 및 출력 인코딩 강화, htmlspecialchars() 함수 적용, Content Security Policy 구현
🔧 검증 코드
해당 경로에서 edit_medicine.php 파일 존재 및 취약 파라미터 확인, 발견 시 htmlspecialchars() 인코딩 사용 여부 검토
grep -E 'u_medicine_name' /var/www/html/*/edit_medicine.php 2>/dev/null | head -1