🇰🇷 한글 설명
PHPGurukul Taxi Stand Management System 1.0의 /admin/search-autoortaxi.php 파일에서 searchdata 파라미터에 대한 입력값 검증 부재로 인한 반영형 XSS 취약점입니다. 공격자가 악의적인 JavaScript 코드를 포함한 링크를 생성하여 관리자에게 전송하면, 클릭 시 세션 탈취나 관리자 계정 장악이 가능합니다.
💡 쉬운 설명
관리 페이지의 검색창에 악성 코드를 넣으면 그 코드가 그대로 실행되는 보안 허점입니다. 공격자가 이를 악용하면 관리자 권한을 빼앗을 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Taxi Stand Management System 1.0 and classified as problematic. Affected by this issue is some unknown functionality of the file /admin/search-autoortaxi.php. The manipulation of the argument searchdata leads to cross site scripting. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Taxi Stand Management System 1.0 이하
⚔️ 공격 벡터
HTTP GET/POST로 /admin/search-autoortaxi.php?searchdata=<script>malicious_code</script> 형태의 XSS 페이로드 전송
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 searchdata 입력값을 htmlspecialchars() 또는 filter_var()로 필터링 및 출력시 이스케이프 처리
🔧 검증 코드
스크립트 태그가 그대로 출력되면 취약점 존재. 이스케이프되어 <script> 형태로 보이면 안전함
curl -s 'http://target-server/admin/search-autoortaxi.php?searchdata=<script>alert(1)</script>' | grep -o '<script>alert(1)</script>'