PHPGurukul Online Shopping Portal 2.1 (관리자 주문 수정 페이지 /admin/updateorder.php)
공격자가 악성 스크립트가 포함된 입력값을 주문 관련 파라미터에 넣어 관리자가 해당 페이지를 열 때 브라우저에서 스크립트가 실행되도록 유도합니다.
제조사 패치 또는 최신 버전으로 업그레이드하고, 출력 시 사용자 입력값을 HTML 이스케이프(htmlspecialchars 등)하며, 필요 시 CSP를 적용하세요.
결과에 해당 애플리케이션 경로가 출력되면 설치된 것이며, 출력이 없으면 이 컴퓨터에는 해당 제품이 없는 것으로 판단합니다. 설치가 확인되면 updateorder.php의 출력 부분에 이스케이프 처리가 있는지 소스를 직접 점검하세요.
grep -ri 'online shopping portal' /var/www /opt 2>/dev/null | head -n 5
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N