🇰🇷 한글 설명
PHPGurukul Apartment Visitors Management System 1.0의 pass-details.php 파일에서 HTTP POST 요청 처리 시 visname 매개변수에 대한 입력 검증이 부족하여 XSS 취약점이 발생합니다. 공격자는 악성 스크립트를 주입하여 다른 사용자의 브라우저에서 실행시킬 수 있습니다.
💡 쉬운 설명
방문자 관리 시스템에서 이름 입력란에 악의적인 코드를 넣으면 그것이 저장되거나 표시될 때 실행될 수 있습니다. 사용자 계정 탈취나 개인정보 유출 같은 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Apartment Visitors Management System 1.0. It has been declared as problematic. Affected by this vulnerability is an unknown functionality of the file pass-details.php of the component HTTP POST Request Handler. The manipulation of the argument visname leads to cross site scripting. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Apartment Visitors Management System 1.0
⚔️ 공격 벡터
pass-details.php의 visname POST 매개변수에 JavaScript 코드 삽입을 통한 원격 XSS 공격
🛡️ 대응 방법
시스템을 최신 버전으로 업그레이드하고, 모든 사용자 입력값을 HTML 엔티티로 인코딩하거나 XSS 필터링을 적용합니다.
🔧 검증 코드
응답에 입력한 스크립트 태그가 그대로 포함되어 있으면 XSS 취약점이 존재하는 것입니다.
curl -X POST http://target/pass-details.php -d 'visname=<script>alert(1)</script>' -v 2>&1 | grep -i 'script'