🇰🇷 한글 설명
PHPGurukul Online Banquet Booking System 1.0의 /admin/login.php 파일에서 user_login과 userpassword 매개변수가 충분히 검증되지 않아 XSS(크로스사이트스크립팅) 공격이 가능합니다. 공격자는 악의적인 스크립트를 삽입하여 관리자 또는 사용자의 세션 정보를 탈취하거나 악성 행동을 수행할 수 있습니다.
💡 쉬운 설명
로그인 페이지의 사용자명/비밀번호 입력란에 악성 코드를 넣으면 그 코드가 실행되는 보안 문제입니다. 이를 통해 해커가 사용자의 개인정보를 빼앗거나 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability, which was classified as problematic, has been found in PHPGurukul Online Banquet Booking System 1.0. Affected by this issue is some unknown functionality of the file /admin/login.php. The manipulation of the argument user_login/userpassword leads to cross site scripting. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Online Banquet Booking System v1.0
⚔️ 공격 벡터
관리자 로그인 페이지(/admin/login.php)의 user_login 또는 userpassword 필드에 JavaScript 코드를 주입하여 원격으로 XSS 공격 실행
🛡️ 대응 방법
공급업체 업데이트를 적용하거나, 입력값에 대한 HTML 특수문자 인코딩 및 콘텐츠 보안 정책(CSP) 헤더 적용
🔧 검증 코드
명령어 결과에서 입력값을 인코딩하지 않은 채로 사용하는 부분이 보이면 취약점이 존재하는 것입니다.
grep -r 'user_login\|userpassword' /path/to/admin/ 2>/dev/null | grep -v 'htmlspecialchars\|htmlentities' | head -5