phpAbook 9.0i - 크로스 사이트 스크립팅(XSS) 취약점 (CVE-2024-48589)

요약:

phpAbook 애플리케이션의 index.php의 rol 매개변수 또는 경로 섹션에서 크로스 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 이 취약점으로 인해 공격자가 사용자의 브라우저에 임의의 JavaScript 코드를 주입할 수 있으며, 이로 인해 다음이 발생할 수 있습니다:

• 세션 쿠키를 포함한 민감한 정보 노출
• 애플리케이션 컨텍스트 내에서의 무단 작업

이 문제는 사용자 입력에 대한 부적절한 검증 및 정화(sanitization)로 인해 발생합니다.

영향:

공격자는 rol 매개변수 또는 경로 섹션에 악성 스크립트가 포함된 URL을 생성하여 사용자가 해당 링크를 방문하도록 속이거나, 브라우저에서 해당 링크를 직접 실행할 수 있습니다.

개념 증명(PoC):

phpabook 애플리케이션의 index.php 페이지에 접근합니다.

index.php URL에 XSS 페이로드를 추가합니다. 예:

/abc"><script>alert(document.domain)</script>

또 다른 취약한 매개변수는 "모두 보기" 탭에서 찾을 수 있는 rol입니다.