🇰🇷 한글 설명
AATF Website v5.1.x 및 Docker 2024.12.8.1에서 /ip.php 엔드포인트가 X-Forwarded-For HTTP 헤더를 제대로 검증하지 않아 XSS 취약점이 존재합니다. 공격자는 이를 통해 방문자 브라우저에서 악의적인 JavaScript를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트가 방문자 정보를 받을 때 위험한 코드를 제대로 필터링하지 않습니다. 이를 악용해 공격자가 사용자 브라우저에서 악성 코드를 실행시킬 수 있습니다.
🇺🇸 원문 (English)
Asian Arts Talents Foundation (AATF) Website v5.1.x and Docker version 2024.12.8.1 are vulnerable to Cross Site Scripting (XSS). The vulnerability exists in the /ip.php endpoint, which processes and displays the X-Forwarded-For HTTP header without proper sanitization or output encoding. This allows an attacker to inject malicious JavaScript code that will execute in visitor browsers.
📍 영향받는 시스템
Asian Arts Talents Foundation (AATF) Website v5.1.x, Docker version 2024.12.8.1
⚔️ 공격 벡터
/ip.php 엔드포인트의 X-Forwarded-For 헤더에 JavaScript 페이로드를 삽입하여 XSS 공격 수행
🛡️ 대응 방법
최신 버전으로 업그레이드 또는 /ip.php에서 X-Forwarded-For 헤더 값에 대한 HTML 인코딩 및 입력 검증 구현
🔧 검증 코드
응답에 script 태그가 그대로 포함되면 취약함, 인코딩되거나 제거되면 안전함
curl -s http://target-url/ip.php -H 'X-Forwarded-For: <script>alert(1)</script>' | grep -i script && echo 'VULNERABLE' || echo 'NOT_VULNERABLE'