🇰🇷 한글 설명
XinLiangCoder php_api_doc 프로젝트의 list_method.php 파일에서 반사형 XSS(크로스사이트 스크립팅) 취약점이 발견되었습니다. GET 요청의 f 파라미터를 통해 입력된 악성 코드가 적절한 검증 없이 페이지에 직접 출력되어 공격자가 피해자 브라우저에서 임의의 JavaScript를 실행할 수 있습니다. 이를 통해 세션 탈취, 자격증명 도용, 악성코드 배포 등의 공격이 가능합니다.
💡 쉬운 설명
웹사이트 주소에 악성 코드를 심어 피해자가 링크를 클릭하면 그 사람의 브라우저에서 해커의 코드가 실행됩니다. 이를 통해 로그인 정보가 탈취되거나 악성 사이트로 유도될 수 있습니다.
🇺🇸 원문 (English)
XinLiangCoder php_api_doc through commit 1ce5bbf contains a reflected cross-site scripting vulnerability in list_method.php that allows remote attackers to execute arbitrary JavaScript in a victim's browser by injecting malicious code through the f parameter. Attackers can craft a malicious URL with unsanitized input in the GET request parameter that is output directly to the page without proper neutralization, enabling session hijacking, credential theft, or malware distribution within the application context.
📍 영향받는 시스템
XinLiangCoder php_api_doc - commit 1ce5bbf 이하 모든 버전
⚔️ 공격 벡터
공격자가 f 파라미터에 악성 JavaScript를 삽입한 URL을 피해자에게 전달하여 브라우저에서 코드 실행 유도
🛡️ 대응 방법
list_method.php의 f 파라미터 출력 시 htmlspecialchars() 등으로 입력값을 반드시 이스케이프 처리하거나, 최신 커밋으로 업데이트
🔧 검증 코드
응답 코드 200이 반환되면 엔드포인트가 존재하며, 응답 본문에 태그가 이스케이프 없이 포함되면 취약한 것으로 판단
curl -s -o /dev/null -w '%{http_code}' 'http://localhost/list_method.php?f=<script>alert(1)</script>' 2>/dev/null | grep -E '^[0-9]+'