🇰🇷 한글 설명
Dovestones Softwares ADPhonebook 4.0.1.1 미만 버전에는 /ADPhonebook?Department=HR 엔드포인트의 search 파라미터에서 반사형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 사용자 입력값이 적절한 검증이나 출력 인코딩 없이 HTTP 응답에 반영되어, 피해자의 브라우저에서 임의의 자바스크립트가 실행될 수 있습니다.
💡 쉬운 설명
전화번호부 웹 프로그램에 악성 링크를 만들어 누르게 하면, 링크를 누른 사람의 브라우저에서 공격자의 코드가 몰래 실행될 수 있습니다. 이를 통해 로그인 정보나 세션이 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
Dovestones Softwares ADPhonebook <4.0.1.1 has a reflected cross-site scripting (XSS) vulnerability in the search parameter of the /ADPhonebook?Department=HR endpoint. User-supplied input is reflected in the HTTP response without proper input validation or output encoding, allowing execution of arbitrary JavaScript in the victim's browser.
📍 영향받는 시스템
Dovestones Softwares ADPhonebook 4.0.1.1 미만 버전
⚔️ 공격 벡터
search 파라미터에 악성 스크립트를 포함한 특수 조작 URL을 만들어 피해자가 클릭하도록 유도
🛡️ 대응 방법
ADPhonebook 4.0.1.1 이상으로 업데이트하고, 사용자 입력값에 대한 검증 및 출력 인코딩을 적용
🔧 검증 코드
응답 본문에 입력한 스크립트가 인코딩 없이 그대로 포함되면 취약하며, 인코딩되었거나 차단되면(예: <script>) 취약점이 조치된 것으로 판단합니다.
curl -s -o /dev/null -w '%{http_code}' 'http://localhost/ADPhonebook?Department=HR&search=<script>alert(1)</script>'