🇰🇷 한글 설명
오픈 소스 Laravel 기반 이커머스 플랫폼인 Bagisto v2.3.7 버전의 관리자 패널 내 '신규 고객 생성' 기능에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 특정 입력 필드에 악성 자바스크립트를 삽입할 경우, 관리자 브라우저에서 코드가 실행되어 세션 탈취나 관리자 권한의 동작을 수행할 수 있습니다.
💡 쉬운 설명
관리자 페이지에서 고객 정보를 입력할 때 악성 코드를 몰래 끼워 넣을 수 있는 보안 약점이 있습니다. 이 코드가 실행되면 해커가 관리자의 계정 정보를 훔치거나 관리자처럼 행동할 수 있습니다.
🇺🇸 원문 (English)
Bagisto is an open source laravel eCommerce platform. In Bagisto v2.3.7, the “Create New Customer” feature (in the admin panel) is vulnerable to Cross-Site Scripting (XSS). An attacker with access to the admin create-customer form can inject malicious JavaScript payloads into certain input fields. These payloads may later execute in the context of an admin’s browser or another user viewing the customer data, enabling session theft or admin-level actions. This vulnerability is fixed in 2.3.8.
📍 영향받는 시스템
Bagisto v2.3.7 이하 버전
⚔️ 공격 벡터
관리자 패널의 고객 생성 양식 내 입력 필드에 악성 자바스크립트 페이로드 주입
🛡️ 대응 방법
Bagisto를 보안 패치가 적용된 v2.3.8 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 정보가 2.3.8 미만(예: 2.3.7)인지 확인하여 취약 여부를 판단합니다.
composer show bagisto/bagisto | grep 'versions'