🔍 CVE-2025-63611

8.7
CVSS Score
HIGH
2026-01-08
2026-01-08 18:08
✅ 완료

🇰🇷 한글 설명

phpgurukul Hostel Management System v2.1에서 사용자 제공 필드(Explain the Complaint)에 대한 크로스 사이트 스크립팅(Cross-Site Scripting) 취약점이 존재하여, 관리자가 민감한 정보에 접근할 때 악의적인 코드가 실행될 수 있습니다.

💡 쉬운 설명

phpgurukul Hostel Management System의 사용자 제공 필드에 악의적인 코드를 삽입할 경우, 관리자가 해당 필드를 열람할 때 그 코드가 실행되어 보안을 위협할 수 있습니다. 이는 시스템의 보안을 약화시키고 민감한 정보가 유출될 수 있습니다.

🇺🇸 원문 (English)

Cross-Site Scripting in phpgurukul Hostel Management System v2.1 user-provided complaint fields (Explain the Complaint) submitted via /register-complaint.php are stored and rendered unescaped in the admin viewer (/admin/complaint-details.php?cid=<id>). When an administrator opens the complaint, injected HTML/JavaScript executes in the admin's browser.

📍 영향받는 시스템

phpgurukul Hostel Management System v2.1

⚔️ 공격 벡터

사용자 제공 필드에 악의적인 코드를 삽입하여 관리자가 해당 필드를 열람할 때 코드가 실행되도록 하는 방법

🛡️ 대응 방법

사용자 제공 데이터의 입력 검증 및 출력 에스케이핑을 강화하고, 최신 보안 패치를 적용하여 취약점을 해결합니다.

🔧 검증 코드

로컬 환경에서 phpgurukul Hostel Management System을 설치하고, Python을 사용하여 크로스 사이트 스크립팅 취약점을 검증하는 코드입니다. 코드를 실행하기 전에 Python과 requests 라이브러리가 설치되어 있어야 하며, 로컬 환경에서 시스템을 실행 중인 상태에서 코드를 실행해야 합니다.

Shell / Script 
python -c "import requests; url = 'http://localhost/register-complaint.php'; payload = {'complaint': '<script>alert(1)</script>'}; response = requests.post(url, data=payload); if response.status_code == 200: print('{{"result": "취약", "reason": "크로스 사이트 스크립팅 취약점 존재"}}'); else: print('{{"result": "양호", "reason": "크로스 사이트 스크립팅 취약점 없음"}}')"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

💻 영향받는 소프트웨어

PHP