🇰🇷 한글 설명
Alosuite의 납품서(delivery note) 기능에서 입력 필드에 대한 살균 및 인코딩이 부족하여 저장형 XSS 취약점이 존재합니다. 인증된 사용자가 악성 스크립트를 저장하면 해당 기록을 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다. 영향 경로는 '/CuentasCorrientes/Create'의 Nombre 파라미터입니다.
💡 쉬운 설명
로그인한 사용자가 특정 입력란에 악성 코드를 저장하면, 그 내용을 보는 다른 사용자의 화면에서 해당 코드가 실행됩니다. 이를 통해 화면 내용이 바뀌거나 피해자의 세션으로 작업이 수행될 수 있습니다.
🇺🇸 원문 (English)
A stored Cross-Site Scripting (XSS) vulnerability in Alosuite that affects the delivery note functionality. Insufficient sanitization and encoding of the specified fields allow JavaScript to be stored, which executes in other users’ browsers when they view the affected records. Exploitation requires authenticated access to the affected functionality. The code can alter the displayed content and perform actions within the context of the victim’s session. The list of features, parameters, and endpoints is as follows:
CVE-2026-108053: Nombre in ‘/CuentasCorrientes/Create’;
📍 영향받는 시스템
Alosuite (납품서/CuentasCorrientes 기능을 포함한 버전, 정확한 영향 버전은 공급사 공지 확인 필요)
⚔️ 공격 벡터
인증된 사용자가 /CuentasCorrientes/Create의 Nombre 필드에 JavaScript를 삽입·저장하여 다른 사용자가 해당 기록을 열 때 실행되도록 함
🛡️ 대응 방법
공급사의 최신 패치를 적용하고, 입력값에 대한 출력 인코딩 및 입력 검증을 강화하며, CSP를 설정
🔧 검증 코드
CSP 헤더가 출력되지 않으면 추가 방어가 없는 상태이며, 실제 취약 여부는 Nombre 필드에 무해한 테스트 문자열(예: <b>test</b>)을 입력해 렌더링 결과가 HTML로 해석되는지 확인해야 합니다.
curl -s -I http://localhost/CuentasCorrientes/Create | grep -i 'content-security-policy'