🇰🇷 한글 설명
PHPGurukal Hospital Management System v4.0의 edit-profile.php 페이지에서 발견된 저장형 XSS 취약점입니다. 인증된 환자가 사용자 이름 파라미터에 악성 스크립트를 주입할 수 있으며, 이는 응용 프로그램에 저장되어 의사 인터페이스에서 렌더링될 때 실행됩니다. 이를 통해 공격자는 의사의 세션을 탈취하거나 민감한 환자 정보에 접근할 수 있습니다.
💡 쉬운 설명
병원 관리 시스템에서 환자가 자신의 이름에 악성 코드를 몰래 넣을 수 있는 보안 문제입니다. 의사가 그 정보를 보면 악성 코드가 실행되어 의사의 계정이 해킹될 수 있습니다.
🇺🇸 원문 (English)
A Cross-Site Scripting (XSS) vulnerability was found in PHPGurukal Hospital Management System v4.0 in the /hospital/hms/edit-profile.php page. This flaw allows an authenticated attacker (patient) to inject a malicious script payload into the User Name parameter, which is stored in the application and later rendered in the doctor s interface.
📍 영향받는 시스템
PHPGurukal Hospital Management System v4.0
⚔️ 공격 벡터
인증된 환자가 edit-profile.php의 User Name 파라미터에 XSS 페이로드를 주입하여 의사 인터페이스에서 실행
🛡️ 대응 방법
모든 사용자 입력을 HTML 인코딩하고 Content Security Policy를 구현하며, PHPGurukal을 최신 버전으로 업데이트
🔧 검증 코드
명령어가 PHPGurukal v4.0 설치를 감지하면 취약한 버전이므로 즉시 최신 버전으로 업데이트 필요
grep -r 'PHPGurukal' /var/www/html 2>/dev/null | grep -i 'version\|4\.0' | head -1