🇰🇷 한글 설명
PHPGurukul Daily Expense Tracker System 1.1 버전의 /dets/includes/sidebar.php 파일에서 FullName 인자 처리 과정에 결함이 발견되었습니다. 공격자가 이 인자를 조작하여 원격에서 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 해당 취약점에 대한 익스플로잇이 이미 공개되어 실제 공격에 악용될 가능성이 있습니다.
💡 쉬운 설명
웹사이트의 이름 입력란에 악성 코드를 삽입하여 다른 사용자의 정보를 훔치거나 웹사이트를 변조할 수 있는 보안 약점입니다. 이미 공격 방법이 알려져 있어 주의가 필요합니다.
🇺🇸 원문 (English)
A flaw has been found in PHPGurukul Daily Expense Tracker System 1.1. This issue affects some unknown processing of the file /dets/includes/sidebar.php. Executing a manipulation of the argument FullName can lead to cross site scripting. The attack can be executed remotely. The exploit has been published and may be used.
📍 영향받는 시스템
PHPGurukul Daily Expense Tracker System 1.1
⚔️ 공격 벡터
원격에서 FullName 매개변수에 악성 스크립트를 삽입하는 방식
🛡️ 대응 방법
입력값에 대한 검증 및 출력 시 HTML 엔티티 인코딩을 적용하여 XSS 방어 로직을 구현하십시오.
🔧 검증 코드
명령어 결과로 해당 파일 내 FullName 변수 사용 위치가 출력되면 취약한 코드 구조를 확인한 것으로 간주합니다.
grep -r "FullName" ./dets/includes/sidebar.php 2>/dev/null