🇰🇷 한글 설명
PHPGurukul Restaurant Table Booking System 1.0의 /admin/manage-subadmins.php 파일의 fullname 매개변수에서 발견된 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자가 악의적인 스크립트를 주입하여 관리자 계정을 통해 실행할 수 있으며, 원격 공격이 가능합니다.
💡 쉬운 설명
웹사이트의 관리자 페이지에 이름 입력 필드를 통해 악성 코드를 삽입할 수 있는 취약점입니다. 이를 통해 관리자 계정의 권한으로 원치 않는 작업을 수행할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability classified as problematic has been found in PHPGurukul Restaurant Table Booking System 1.0. Affected is an unknown function of the file /admin/manage-subadmins.php. The manipulation of the argument fullname leads to cross site scripting. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. Other parameters might be affected as well.
📍 영향받는 시스템
PHPGurukul Restaurant Table Booking System 버전 1.0 이하
⚔️ 공격 벡터
/admin/manage-subadmins.php의 fullname 파라미터에 JavaScript 코드 삽입
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업그레이드하거나, fullname 파라미터에 대한 입력 검증 및 출력 이스케이프 처리 구현
🔧 검증 코드
응답에서 fullname 필드의 입력값이 이스케이프되지 않고 그대로 반영되면 취약점 존재 확인
curl -s 'http://target/admin/manage-subadmins.php' | grep -i 'fullname' | head -5