뉴스 제목의 저장형 XSS - Simple Content Management System PHP

설명

Simple Content Management System PHP에 저장형 교차 사이트 스크립팅(XSS) 취약점이 존재합니다. 관리자 패널의 뉴스 제목(News Title) 필드는 사용자 입력을 데이터베이스에 저장하고 공개 인덱스 페이지에 반영하기 전에 삭제(샌itize)하지 않습니다. 메인 페이지를 방문하는 모든 방문자는 저장된 XSS 페이로드를 트리거하게 되며, 이를 통해 공격자는 세션 쿠키를 탈취하고 계정을 가로챌 수 있습니다.

---

취약점 세부 정보

• 유형: 저장형 교차 사이트 스크립팅 (CWE-79)
• 영향: 세션 하이재킹 / 쿠키 탈취
• 영향을 받는 파일: /web/admin/welcome.php
• 영향을 받는 매개변수: 뉴스 제목(News Title) 필드
• 공격 경로: 원격, 인증됨 (관리자)
• 트리거 위치: /web/index.php (공개, 인증 불필요)

---

공급업체

code-projects.org

제품

Simple Content Management System PHP

버전

1.0