🇰🇷 한글 설명
Coohom SaaS 플랫폼(feVersion=1760060603897, 2025-10-28)의 계정 설정 모듈에서 주소 필드(City, State, Country/Region)의 사용자 입력값이 검증 없이 페이지에 다시 렌더링되어 저장형 XSS 취약점이 존재합니다. 공격자는 임의의 JavaScript 코드를 주입할 수 있으며, 피해자가 해당 프로필 페이지를 열면 스크립트가 실행됩니다. 이를 통해 세션 하이재킹, 쿠키 탈취, 임의 스크립트 실행이 가능합니다.
💡 쉬운 설명
사용자가 주소 정보를 입력할 때 악성 코드를 함께 넣을 수 있습니다. 다른 사람이 그 프로필 페이지를 열면 악성 코드가 실행되어 로그인 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
A stored Cross-Site Scripting (XSS) vulnerability exists in the Coohom SaaS Platform feVersion=1760060603897 (2025-10-28) in the Account Settings module, where unsanitized user input in Address fields (City, State, Country/Region) is rendered back to the page. Attackers can inject arbitrary JavaScript code, which executes when the affected profile page is viewed. This can lead to session hijacking, cookie theft, or arbitrary script execution in the victim's browser.
📍 영향받는 시스템
Coohom SaaS Platform feVersion=1760060603897 (2025-10-28) 계정 설정 모듈
⚔️ 공격 벡터
공격자가 계정 설정의 주소 필드(City, State, Country/Region)에 악성 스크립트를 저장한 뒤, 피해자가 해당 프로필 페이지를 조회할 때 실행됨
🛡️ 대응 방법
주소 필드 입력값에 대한 서버 측 입력 검증 및 출력 시 HTML 인코딩 적용, CSP(Content-Security-Policy) 도입, 벤더 패치 적용
🔧 검증 코드
응답 코드와 함께 현재 배포된 feVersion을 확인하여 2025-10-28 빌드(feVersion=1760060603897) 이전 버전이면 취약, 이후 패치 버전이면 조치 완료로 판단
curl -s -o /dev/null -w '%{http_code}' https://<coohom-host>/ 2>/dev/null