🇰🇷 한글 설명
PHP Point of Sale v19.4의 HTML injection 취약점으로, '/reports/generate/specific_customer' 엔드포인트의 'start_date_formatted'와 'end_date_formatted' 매개변수에 대한 사용자 입력 검증 부족으로 인해 발생합니다. 공격자가 피해자의 브라우저에서 임의의 HTML을 렌더링할 수 있습니다.
💡 쉬운 설명
PHP Point of Sale 프로그램의 보고서 생성 기능에서 입력값을 제대로 확인하지 않아, 공격자가 악의적인 HTML 코드를 삽입할 수 있습니다. 사용자가 링크를 클릭하면 공격자의 HTML 코드가 그대로 실행됩니다.
🇺🇸 원문 (English)
HTML injection vulnerability in PHP Point of Sale v19.4. This vulnerability allows an attacker to render HTML in the victim's browser due to a lack of proper validation of user input by sending a request to '/reports/generate/specific_customer', ussing 'start_date_formatted' y 'end_date_formatted' parameters.
📍 영향받는 시스템
PHP Point of Sale v19.4
⚔️ 공격 벡터
'/reports/generate/specific_customer' 엔드포인트의 'start_date_formatted', 'end_date_formatted' 매개변수에 HTML 코드 삽입
🛡️ 대응 방법
PHP Point of Sale를 최신 패치가 적용된 버전으로 업그레이드하고 모든 사용자 입력에 HTML 인코딩 적용
🔧 검증 코드
패키지 목록에서 Point of Sale 버전을 확인합니다. v19.4 버전이 설치되어 있으면 즉시 업그레이드가 필요합니다.
dpkg -l 2>/dev/null | grep -i 'point.of.sale' || find /var/www -name 'version.php' -o -name 'VERSION' 2>/dev/null | xargs grep -l '19.4'