🇰🇷 한글 설명
PHPGurukul Hospital Management System 4.0의 /doctor/manage-patient.php 파일에서 Name 인자에 대한 입력 검증 부족으로 인한 XSS(교차 사이트 스크립팅) 취약점입니다. 공격자는 특수 문자를 포함한 악의적인 이름을 입력하여 환자 관리 페이지에서 임의의 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
병원 관리 시스템의 환자 이름 입력 필드에서 악성 코드를 주입할 수 있는 취약점입니다. 공격자가 특수 문자나 스크립트를 이름으로 입력하면 다른 사용자의 브라우저에서 실행될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability classified as problematic was found in PHPGurukul Hospital Management System 4.0. Affected by this vulnerability is an unknown functionality of the file /doctor/manage-patient.php. The manipulation of the argument Name leads to cross site scripting. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Hospital Management System 4.0 이하 버전
⚔️ 공격 벡터
웹 브라우저를 통해 /doctor/manage-patient.php 페이지의 Name 파라미터에 XSS 페이로드를 삽입하여 원격 공격 가능
🛡️ 대응 방법
PHPGurukul 패치 적용 또는 입력값 검증(htmlspecialchars, strip_tags) 및 CSP 헤더 설정
🔧 검증 코드
PHPGurukul이나 Hospital 문자열이 응답에 포함되면 해당 시스템이 사용 중입니다. 실제 취약점 확인은 Name 파라미터에 <script>alert(1)</script> 입력 후 페이지 렌더링 확인
curl -s 'http://target/doctor/manage-patient.php' | grep -i 'phpgurukul\|hospital' | head -1