🇰🇷 한글 설명
AVideo는 사용자 등록 시 phone 필드를 적절히 정제하지 않습니다. 인증되지 않은 공격자가 악성 JavaScript를 주입하여 데이터베이스에 저장할 수 있습니다. 관리자가 사용자 관리 페이지를 방문하면 innerHTML로 렌더링되어 관리자 세션에서 스크립트가 실행됩니다.
💡 쉬운 설명
회원가입 때 전화번호 칸에 악성 코드를 넣으면 그대로 저장됩니다. 관리자가 회원 목록을 열면 그 코드가 관리자 브라우저에서 실행됩니다.
🇺🇸 원문 (English)
AVideo fails to sanitize the phone field during user registration, allowing unauthenticated attackers to inject malicious JavaScript that persists in the database. When administrators visit the users management page, the unsanitized phone value is rendered via innerHTML, executing the injected script in the admin's browser session.
📍 영향받는 시스템
AVideo 플랫폼 (영향받는 정확한 버전은 공식 보안 공지 확인 필요)
⚔️ 공격 벡터
미인증 회원가입 폼의 phone 필드에 악성 스크립트를 입력하여 저장형 XSS를 유발
🛡️ 대응 방법
AVideo를 공식 패치된 최신 버전으로 업데이트하고, phone 필드 입력값에 대한 서버측 검증 및 출력 시 이스케이프 처리를 적용
🔧 검증 코드
결과에서 phone 값이 innerHTML 등으로 이스케이프 없이 출력되는 코드가 보이면 취약할 가능성이 높으며, 패치된 버전에서는 htmlspecialchars 등 이스케이프 처리가 확인되어야 합니다.
grep -rn 'phone' /var/www/html/AVideo/objects/user.php 2>/dev/null | head -5