🇰🇷 한글 설명
PHPGurukul Time Table Generator System 1.0의 /admin/profile.php 파일에서 adminname 매개변수가 적절히 검증되지 않아 발생하는 XSS(교차 사이트 스크립팅) 취약점입니다. 원격 공격자가 악의적인 스크립트를 주입하여 관리자 세션을 탈취하거나 관리자 권한으로 악성 행동을 수행할 수 있습니다.
💡 쉬운 설명
이 취약점은 프로필 페이지에서 관리자 이름 입력값이 제대로 검사되지 않아, 악의적인 코드를 숨겨서 보낼 수 있는 문제입니다. 관리자가 이 페이지를 방문하면 악의적인 코드가 실행되어 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability, which was classified as problematic, was found in PHPGurukul Time Table Generator System 1.0. Affected is an unknown function of the file /admin/profile.php. The manipulation of the argument adminname leads to cross site scripting. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Time Table Generator System 버전 1.0 이하
⚔️ 공격 벡터
원격 공격자가 /admin/profile.php의 adminname 파라미터에 JavaScript 코드를 삽입하여 관리자의 브라우저에서 실행
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업그레이드하거나, 모든 사용자 입력값을 HTML 인코딩하여 XSS 필터링 적용
🔧 검증 코드
결과에서 adminname 변수가 htmlspecialchars() 또는 유사한 인코딩 함수로 처리되고 있는지 확인; 처리되지 않으면 취약점 존재
grep -r 'adminname' /path/to/phpgurukul/admin/profile.php | head -1