🇰🇷 한글 설명
Alosuite의 납품서(delivery note) 기능에서 입력 필드에 대한 sanitization과 encoding이 불충분하여 저장형 XSS 취약점이 존재합니다. 인증된 사용자가 악성 스크립트를 저장하면, 해당 레코드를 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다. 특히 '/Trabajadores/Create' 경로의 Nombre 파라미터가 영향을 받습니다.
💡 쉬운 설명
직원 등록 화면의 이름 입력란에 악성 코드를 넣어 저장하면, 다른 사용자가 그 정보를 볼 때 해당 코드가 몰래 실행됩니다. 공격자는 이를 통해 피해자의 화면을 바꾸거나 로그인 세션으로 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
A stored Cross-Site Scripting (XSS) vulnerability in Alosuite that affects the delivery note functionality. Insufficient sanitization and encoding of the specified fields allow JavaScript to be stored, which executes in other users’ browsers when they view the affected records. Exploitation requires authenticated access to the affected functionality. The code can alter the displayed content and perform actions within the context of the victim’s session. The list of features, parameters, and endpoints is as follows:CVE-2026-108060: Nombre in ‘/Trabajadores/Create’.
📍 영향받는 시스템
Alosuite (납품서 기능 포함 버전, 정확한 영향 버전은 공급사 확인 필요)
⚔️ 공격 벡터
인증된 사용자가 /Trabajadores/Create의 Nombre 필드에 JavaScript 페이로드를 입력해 저장하면, 해당 기록을 열람하는 다른 사용자의 브라우저에서 실행됨
🛡️ 대응 방법
Alosuite 공급사의 최신 패치를 적용하고, 입력값에 대한 출력 인코딩 및 입력 검증을 강화하며, CSP(Content Security Policy)를 설정
🔧 검증 코드
Alosuite 설치 경로에서 Trabajadores 컨트롤러 관련 파일이 검색되면 해당 기능이 존재하는 것이므로, 해당 파일의 Nombre 입력값에 대한 인코딩 처리 여부와 공급사 패치 적용 여부를 수동으로 점검해야 합니다. 결과가 없으면 경로가 다르거나 해당 제품이 설치되지 않은 것입니다.
grep -ri 'Trabajadores' /var/www 2>/dev/null | grep -i 'create' | head -20