🇰🇷 한글 설명
PHPGurukul Apartment Visitors Management System 1.0의 /manage-newvisitors.php 파일에서 visname 매개변수에 대한 입력값 검증 부족으로 인해 크로스사이트 스크립팅(XSS) 취약점이 발생합니다. 공격자는 악의적인 스크립트를 삽입하여 사용자의 브라우저에서 실행되도록 할 수 있습니다.
💡 쉬운 설명
방문자 관리 시스템에서 사용자 입력을 충분히 검증하지 않아 악성 코드를 주입할 수 있는 보안 문제입니다. 공격자가 입력한 악성 스크립트가 웹페이지에 그대로 표시되어 다른 사용자의 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability, which was classified as problematic, has been found in PHPGurukul Apartment Visitors Management System 1.0. This issue affects some unknown processing of the file /manage-newvisitors.php of the component HTTP POST Request Handler. The manipulation of the argument visname leads to cross site scripting. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. Other parameters might be affected as well.
📍 영향받는 시스템
PHPGurukul Apartment Visitors Management System 1.0
⚔️ 공격 벡터
HTTP POST 요청의 visname 매개변수에 JavaScript 코드를 포함시켜 /manage-newvisitors.php로 전송하면 XSS 공격 실행
🛡️ 대응 방법
입력값 검증 및 HTML 인코딩을 적용하고, 시스템 업데이트가 있으면 즉시 적용하며, 웹방화벽(WAF)으로 XSS 패턴을 필터링
🔧 검증 코드
응답에 <script> 태그가 인코딩되지 않고 그대로 포함되면 XSS 취약점이 존재하는 것입니다. 태그가 보이지 않거나 인코딩되어 있으면 패치된 상태입니다.
curl -s http://target-server/manage-newvisitors.php -X POST -d 'visname=<script>alert(1)</script>' | grep -i script