🇰🇷 한글 설명
PHPGurukul Taxi Stand Management System 1.0의 /admin/new-autoortaxi-entry-form.php 파일에서 registrationnumber와 licensenumber 인자에 대한 불충분한 입력 검증으로 인한 XSS 취약점입니다. 공격자가 악의적인 스크립트를 포함하여 원격으로 관리자 또는 사용자 세션을 탈취하거나 악성 행동을 수행할 수 있습니다.
💡 쉬운 설명
택시 관리 시스템의 관리자 페이지에서 입력 값이 검증되지 않아 공격자가 악의적인 코드를 삽입할 수 있습니다. 이를 통해 관리자의 권한을 도용하거나 민감한 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in PHPGurukul Taxi Stand Management System 1.0 and classified as problematic. Affected by this vulnerability is an unknown functionality of the file /admin/new-autoortaxi-entry-form.php. The manipulation of the argument registrationnumber/licensenumber leads to cross site scripting. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Taxi Stand Management System 버전 1.0 이하
⚔️ 공격 벡터
원격 공격자가 /admin/new-autoortaxi-entry-form.php의 registrationnumber 또는 licensenumber 파라미터에 XSS 페이로드를 주입하여 관리자 브라우저에서 실행
🛡️ 대응 방법
최신 버전으로 업그레이드하거나, 모든 사용자 입력을 HTML 인코딩하고 CSP 헤더를 설정하여 입력 검증 및 살균 처리 구현
🔧 검증 코드
시스템에 해당 파라미터가 존재하는지 확인합니다. 결과가 있으면 영향받는 코드가 존재하는 것이고, 입력 검증 로직을 확인하여 XSS 방어 여부를 판단합니다.
grep -r 'registrationnumber\|licensenumber' /var/www/html 2>/dev/null | head -5