🇰🇷 한글 설명
PHPGurukul 디렉토리 관리 시스템 2.0의 /admin/add-directory.php 파일에서 fullname 매개변수에 대한 부적절한 입력 검증으로 인해 XSS(크로스 사이트 스크립팅) 공격이 가능합니다. 공격자는 악의적인 JavaScript 코드를 주입하여 관리자의 세션을 탈취하거나 시스템을 제어할 수 있습니다.
💡 쉬운 설명
PHPGurukul이라는 파일 관리 프로그램의 이름(fullname) 입력 창에 해로운 코드를 넣을 수 있는 문제입니다. 이 코드가 실행되면 관리자의 계정이 도용되거나 시스템이 손상될 수 있습니다.
🇺🇸 원문 (English)
A security vulnerability has been detected in PHPGurukul Directory Management System 2.0. This vulnerability affects unknown code of the file /admin/add-directory.php. The manipulation of the argument fullname leads to cross site scripting. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used.
📍 영향받는 시스템
PHPGurukul Directory Management System 버전 2.0 및 이전 버전
⚔️ 공격 벡터
원격 공격자가 /admin/add-directory.php의 fullname 파라미터에 XSS 페이로드를 주입하여 관리자 또는 사용자의 브라우저에서 악성 스크립트 실행
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업데이트하고, /admin/add-directory.php의 모든 사용자 입력에 대해 출력 인코딩 및 입력 검증을 적용하며, HTML 특수문자를 이스케이프 처리하기
🔧 검증 코드
PHPGurukul이 설치된 경로에서 add-directory.php 파일의 fullname 필터링 여부를 확인합니다. VULNERABLE이 출력되면 해당 버전이 영향을 받으므로 즉시 업데이트 필요
find /var/www -name 'add-directory.php' 2>/dev/null | head -1 | xargs grep -l 'fullname' 2>/dev/null && echo 'VULNERABLE' || echo 'NOT_FOUND'