🇰🇷 한글 설명
PHPGurukul의 온라인 보안 경비원 채용 시스템 1.0의 /admin/search.php 파일에서 searchdata 파라미터 검증 부재로 인한 반사형 XSS 취약점입니다. 공격자가 악의적인 JavaScript를 주입하여 관리자 세션에서 스크립트를 실행할 수 있으며, 이를 통해 관리자 계정 탈취나 시스템 데이터 변조가 가능합니다.
💡 쉬운 설명
관리자 검색 기능에 악의적인 웹 코드를 삽입할 수 있는 결함으로, 공격자가 관리자를 속여 악성 링크를 클릭하도록 유도하면 관리자 권한으로 해킹된 코드가 실행됩니다. 이를 통해 시스템 제어권을 빼앗기거나 관리자 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Online Security Guards Hiring System 1.0. It has been declared as problematic. This vulnerability affects unknown code of the file /admin/search.php. The manipulation of the argument searchdata leads to cross site scripting. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Online Security Guards Hiring System version 1.0
⚔️ 공격 벡터
관리자 패널(/admin/search.php)의 검색 폼에 JavaScript 페이로드가 포함된 입력값을 제공하거나, 조작된 URL을 관리자에게 전송하여 관리자 브라우저에서 악성 스크립트 실행
🛡️ 대응 방법
searchdata 파라미터에 대한 입력 검증 및 HTML 엔티티 인코딩 구현, 공식 보안 패치 적용 또는 시스템 제거 및 교체
🔧 검증 코드
명령어가 검색 파라미터 처리 부분을 찾으면 해당 시스템이 설치된 것이며, 입력값 필터링 코드의 부재 여부를 확인하여 취약점 존재 여부를 판단할 수 있습니다.
grep -r "searchdata" /var/www/html/ 2>/dev/null | grep -i "search.php" | head -1