🇰🇷 한글 설명
PHPGurukul Staff Leave Management System 1.0의 관리자 뷰 파일에서 profile_pic 매개변수에 대한 입력 검증 부재로 인한 크로스 사이트 스크립팅(XSS) 취약점입니다. 공격자는 악의적인 SVG 파일을 업로드하여 원격으로 관리자 세션을 탈취하거나 민감한 정보에 접근할 수 있습니다.
💡 쉬운 설명
관리자가 직원 사진을 업로드할 때 악성 코드를 포함한 파일을 삽입하여 다른 사용자의 정보를 도용할 수 있는 취약점입니다. 이미 공개된 공격 방법이 존재하므로 즉시 패치가 필요합니다.
🇺🇸 원문 (English)
A flaw has been found in PHPGurukul Staff Leave Management System 1.0. The affected element is the function ADD_STAFF/UPDATE_STAFF of the file /staffleave/slms/slms/adminviews.py of the component SVG File Handler. Executing a manipulation of the argument profile_pic can lead to cross site scripting. The attack can be executed remotely. The exploit has been published and may be used.
📍 영향받는 시스템
PHPGurukul Staff Leave Management System 1.0 이하 버전
⚔️ 공격 벡터
ADD_STAFF 또는 UPDATE_STAFF 함수의 profile_pic 파라미터에 XSS 페이로드를 포함한 SVG 파일 업로드
🛡️ 대응 방법
시스템을 최신 버전으로 업그레이드하거나 profile_pic 입력값에 대한 엄격한 검증(파일 타입 확인, SVG 콘텐츠 살균) 구현
🔧 검증 코드
vulnerable adminviews.py 파일이 발견되고 profile_pic이 입력 검증 없이 사용되면 시스템이 취약함을 의미합니다.
find / -name 'adminviews.py' -path '*staffleave*' 2>/dev/null && grep -n 'profile_pic' /staffleave/slms/slms/adminviews.py 2>/dev/null