🇰🇷 한글 설명
ATutor는 회원가입 기능에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 가입 시 전화번호 필드에 자바스크립트 페이로드를 입력할 수 있으며, 이후 인증된 사용자가 해당 공개 프로필을 방문하면 출력 인코딩 없이 스크립트가 실행되어 세션 쿠키가 탈취될 수 있습니다. 이 제품은 더 이상 지원되지 않으며 취약점은 수정되지 않았습니다. 버전 2.2.4에서 확인되었고 다른 버전도 영향을 받을 가능성이 있습니다.
💡 쉬운 설명
공격자가 가입할 때 전화번호 칸에 악성 코드를 넣어 둘 수 있습니다. 다른 사용자가 그 프로필 페이지를 열면 악성 코드가 실행되어 로그인 정보가 빼앗길 수 있습니다.
🇺🇸 원문 (English)
ATutor is vulnerable to Stored Cross Site Scripting in registration functionality. An attacker can register a new account and enter a JavaScript payload in the phone field during registration. When any authenticated user visits the attacker's public profile, the profile template echoes the phone value without output encoding and the browser executes the payload leading to the theft of user's session cookie.
Product is no longer actively supported and the vulnerabilities have not been fixed. Only version 2.2.4 was tested and confirmed as vulnerable, other versions were not tested but might also be vulnerable.
📍 영향받는 시스템
ATutor 2.2.4 (확인됨) 및 기타 버전 (미검증, 지원 종료 제품)
⚔️ 공격 벡터
공격자가 회원가입 시 전화번호 필드에 자바스크립트 페이로드를 삽입하고, 피해자가 공개 프로필 페이지를 방문할 때 세션 쿠키가 탈취됨
🛡️ 대응 방법
ATutor 사용을 중단하거나 대체 LMS로 이전하고, 불가피하면 프로필 출력에 HTML 인코딩을 적용하고 입력값을 검증하며 회원가입을 제한하세요.
🔧 검증 코드
출력 결과에서 phone 값이 htmlspecialchars 등 인코딩 함수 없이 그대로 echo되고 있으면 취약하며, 인코딩 처리가 확인되면 패치된 것입니다. 결과가 없으면 경로를 확인해야 합니다.
grep -rn "phone" /var/www/html/ATutor/mods/_core/public/ 2>/dev/null | head -20