🇰🇷 한글 설명
phpgurukul Doctor Appointment Management System 1.0에서 인증된 의사 사용자가 프로필 이름에 임의의 JavaScript 코드를 삽입할 수 있습니다. 이 페이로드는 사용자가 웹사이트를 방문해 의사를 선택하여 예약할 때 적절한 살균 처리 없이 렌더링됩니다.
💡 쉬운 설명
의사 계정으로 로그인한 사용자가 자신의 이름에 악성 스크립트를 넣을 수 있습니다. 환자가 해당 의사를 선택하면 그 스크립트가 환자의 브라우저에서 실행됩니다.
🇺🇸 원문 (English)
In phpgurukul Doctor Appointment Management System 1.0, an authenticated doctor user can inject arbitrary JavaScript code into their profile name. This payload is subsequently rendered without proper sanitization, when a user visits the website and selects the doctor to book an appointment.
📍 영향받는 시스템
phpgurukul Doctor Appointment Management System 1.0
⚔️ 공격 벡터
인증된 의사 계정의 프로필 이름 필드에 JavaScript 페이로드를 삽입하여 다른 사용자가 예약 페이지를 볼 때 저장형 XSS를 유발
🛡️ 대응 방법
프로필 이름 등 사용자 입력값을 출력 시 HTML 이스케이프 처리하고 입력 검증을 강화하거나 패치된 버전으로 업그레이드
🔧 검증 코드
결과에 해당 애플리케이션 디렉터리가 나타나면 설치 여부를 확인한 것이며, 나타나지 않으면 이 컴퓨터에는 해당 시스템이 설치되어 있지 않은 것입니다.
find / -iname '*doctor*appointment*' -type d 2>/dev/null | head -n 5