🇰🇷 한글 설명
edu Business Solutions Print Shop Pro WebDesk 18.34 버전(19.69에서 수정)의 /psp/appNet/TemplateOrder/TemplatePreview.aspx 엔드포인트에서 ctl00_Content01_fieldValue 파라미터에 저장형 XSS 취약점이 존재합니다. 사용자 입력값이 적절한 출력 인코딩 없이 저장되고 이후 HTML로 렌더링되어, 공격자가 임의의 자바스크립트를 주입해 다른 사용자 세션에서 실행할 수 있습니다.
💡 쉬운 설명
이 프로그램의 한 입력란에 악성 스크립트를 넣어 저장할 수 있습니다. 다른 사용자가 해당 페이지를 열면 그 스크립트가 실행되어 개인정보나 로그인 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
Cross-Site Scripting (XSS) is present on the ctl00_Content01_fieldValue parameters on the /psp/appNet/TemplateOrder/TemplatePreview.aspx endpoint in edu Business Solutions Print Shop Pro WebDesk version 18.34 (fixed in 19.69). User-supplied input is stored and later rendered in HTML pages without proper output encoding or sanitization. This allows attackers to persistently inject arbitrary JavaScript that executes in the context of other users' sessions
📍 영향받는 시스템
edu Business Solutions Print Shop Pro WebDesk 18.34 버전 (19.69 미만 전체 영향, 19.69에서 수정)
⚔️ 공격 벡터
인증된 사용자가 fieldValue 파라미터에 악성 JavaScript를 포함한 값을 저장하면, 이후 다른 사용자가 TemplatePreview.aspx 페이지를 열 때 스크립트가 실행됨
🛡️ 대응 방법
WebDesk를 19.69 이상 버전으로 업그레이드하고, 출력 시 HTML 인코딩 및 입력값 검증을 적용
🔧 검증 코드
결과에 18.34 버전 정보가 나타나면 취약한 버전일 가능성이 높고, 19.69 이상이 확인되면 수정된 버전입니다. 결과가 없으면 설치 경로를 직접 확인해야 합니다.
grep -ri 'WebDesk' /opt /var/www /usr/local 2>/dev/null | grep -iE '18\.34|19\.69' | head -n 5