🇰🇷 한글 설명
mathurvishal CloudClassroom-PHP-Project의 updatedetailsfromfaculty.php 파일에서 발견된 보안 취약점입니다. fname 인자를 조작하면 크로스 사이트 스크립팅(XSS)이 발생하며, 원격으로 공격이 가능합니다. 공개된 익스플로잇이 존재하며 벤더는 사전 통보에 응답하지 않았습니다.
💡 쉬운 설명
이 프로그램의 특정 입력란에 악성 스크립트를 넣으면, 다른 사용자의 브라우저에서 그 스크립트가 실행될 수 있습니다. 공격자는 이를 이용해 로그인 정보나 개인 데이터를 빼낼 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in mathurvishal CloudClassroom-PHP-Project. This vulnerability affects unknown code of the file updatedetailsfromfaculty.php. Performing a manipulation of the argument fname results in cross site scripting. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
mathurvishal CloudClassroom-PHP-Project (롤링 릴리스, 특정 버전 정보 없음)
⚔️ 공격 벡터
원격에서 fname 파라미터에 악성 스크립트를 삽입하여 피해자의 브라우저에서 실행되도록 유도
🛡️ 대응 방법
fname 입력값에 대한 출력 인코딩 및 입력 검증을 적용하거나, 벤더 패치 제공 시 최신 코드로 업데이트하고 해당 파일 접근을 제한
🔧 검증 코드
출력 결과가 없으면 fname 값이 이스케이프 없이 출력되지 않는 것으로 볼 수 있고, 결과가 나오면 이스케이프 없이 출력되는 코드가 있어 XSS에 취약할 가능성이 높습니다.
grep -n 'fname' updatedetailsfromfaculty.php 2>/dev/null | grep -E 'echo|print' | grep -v -E 'htmlspecialchars|htmlentities'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
Cisco Talos Intelligence for Enterprise Security Cloud