🇰🇷 한글 설명
PHPGurukul Online Banquet Booking System 1.0의 /admin/admin-profile.php 파일에서 adminname 파라미터가 적절히 검증되지 않아 반사형 XSS 취약점이 발생합니다. 공격자는 악의적인 JavaScript 코드를 포함한 URL을 생성하여 관리자를 대상으로 공격할 수 있으며, 현재 공개된 취약점으로 악용 코드가 존재합니다.
💡 쉬운 설명
PHPGurukul Online Banquet Booking System의 관리자 페이지에서 입력값이 제대로 확인되지 않아 악의적인 코드를 주입할 수 있습니다. 공격자가 조작된 링크를 관리자에게 보내면 관리자의 개인정보나 세션 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability classified as problematic was found in PHPGurukul Online Banquet Booking System 1.0. Affected by this vulnerability is an unknown functionality of the file /admin/admin-profile.php. The manipulation of the argument adminname leads to cross site scripting. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Online Banquet Booking System 1.0 및 이전 버전
⚔️ 공격 벡터
/admin/admin-profile.php의 adminname 파라미터에 HTML/JavaScript 코드를 삽입하여 관리자 세션 탈취 또는 계정 제어
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업그레이드하거나, adminname 파라미터에 대한 입력값 검증 및 HTML 출력 인코딩(htmlspecialchars 등) 적용
🔧 검증 코드
명령어가 admin-profile.php 파일을 찾으면 PHPGurukul이 설치되어 있으며, 해당 파일의 소스 코드를 검토하여 adminname 파라미터가 htmlspecialchars()나 유사한 이스케이프 함수로 처리되는지 확인합니다.
find / -name 'admin-profile.php' -type f 2>/dev/null | xargs grep -l 'adminname' 2>/dev/null | head -1