🇰🇷 한글 설명
PHPGurukul Student Result Management System v2.0의 /elms/emp-changepassword.php 구성 요소에서 부적절한 세션 무효화 취약점이 발견되었습니다. 이로 인해 공격자가 사용자의 세션을 탈취하여 권한을 오용할 수 있습니다.
💡 쉬운 설명
로그아웃을 해도 사용자의 접속 정보가 완전히 사라지지 않는 문제입니다. 이를 통해 해커가 다른 사람의 계정으로 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
Improper session invalidation in the component /elms/emp-changepassword.php of PHPGurukul Student Result Management System v2.0 allows attackers to execute a session hijacking attack.
📍 영향받는 시스템
PHPGurukul Student Result Management System v2.0
⚔️ 공격 벡터
세션 무효화 미흡을 이용한 세션 하이재킹(Session Hijacking)
🛡️ 대응 방법
해당 구성 요소의 세션 종료 로직을 수정하여 로그아웃 시 세션이 완전히 파기되도록 패치해야 합니다.
🔧 검증 코드
로그아웃 후에도 동일한 세션 쿠키가 유효하거나 서버에서 세션이 유지되는지 확인합니다.
curl -I http://<target-ip>/elms/emp-changepassword.php | grep -i 'Set-Cookie'