🇰🇷 한글 설명
PHPGurukul Online Banquet Booking System 1.0의 /admin/booking-search.php 파일에서 searchdata 매개변수가 제대로 검증되지 않아 XSS 취약점이 발생합니다. 원격 공격자가 악의적인 스크립트를 주입하여 관리자나 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 검색 기능에서 입력값이 제대로 확인되지 않아, 악의적인 코드를 숨겨서 보낼 수 있는 문제입니다. 다른 사용자가 그 페이지를 방문하면 숨겨진 악의적인 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability, which was classified as problematic, was found in PHPGurukul Online Banquet Booking System 1.0. This affects an unknown part of the file /admin/booking-search.php. The manipulation of the argument searchdata leads to cross site scripting. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Online Banquet Booking System 버전 1.0
⚔️ 공격 벡터
HTTP GET/POST 요청의 searchdata 파라미터에 자바스크립트 코드를 주입하여 XSS 공격 수행
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업데이트하거나, 입력값 필터링 및 HTML 이스케이핑을 적용하여 XSS 방지
🔧 검증 코드
응답에 입력된 스크립트 태그가 그대로 나타나면 XSS 취약점이 존재합니다.
curl -s 'http://target/admin/booking-search.php?searchdata=<script>alert(1)</script>' | grep -i 'script'