🇰🇷 한글 설명
PHPGurukul Taxi Stand Management System 1.0의 /admin/admin-profile.php 파일에서 adminname 파라미터에 대한 입력 검증 부재로 인해 발생하는 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자가 악의적인 JavaScript 코드를 포함한 URL을 관리자에게 전송하면 피해자의 브라우저에서 해당 코드가 실행될 수 있습니다.
💡 쉬운 설명
택시 관리 시스템의 관리자 프로필 페이지에서 사용자 입력값을 충분히 검사하지 않아 악성 코드를 주입할 수 있는 보안 문제입니다. 해커가 특별하게 조작한 링크를 클릭하도록 유도하면 관리자의 브라우저에서 악의적인 행동을 수행할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in PHPGurukul Taxi Stand Management System 1.0 and classified as problematic. Affected by this vulnerability is an unknown functionality of the file /admin/admin-profile.php. The manipulation of the argument adminname leads to cross site scripting. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Taxi Stand Management System version 1.0
⚔️ 공격 벡터
GET/POST 요청의 adminname 파라미터에 JavaScript 코드 삽입 후 관리자가 악성 URL을 클릭하도록 유도
🛡️ 대응 방법
/admin/admin-profile.php의 adminname 파라미터에 대해 입력 검증 및 HTML 인코딩을 추가하여 XSS 공격 차단
🔧 검증 코드
명령어 실행 후 경로가 출력되면 해당 파일 존재; /admin/admin-profile.php 파일 내용에서 htmlspecialchars() 또는 htmlentities() 함수로 adminname 변수 처리 여부 확인
find / -name 'admin-profile.php' -type f 2>/dev/null | grep -i taxi