🇰🇷 한글 설명
Coupa Supplier Portal SaaS 플랫폼의 Tenders 모듈에서 발생하는 반사형 XSS 취약점입니다. list_item_function 파라미터가 적절한 출력 인코딩이나 검증 없이 서버 응답에 반사되며, JavaScript 이벤트 핸들러 컨텍스트에 직접 삽입됩니다. 낮은 권한의 공격자가 악성 스크립트가 포함된 URL을 만들어 피해자가 열면 피해자 브라우저에서 임의의 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
공격자가 만든 특수한 링크를 누르면 웹 사이트가 악성 코드를 그대로 실행해버리는 문제입니다. 이로 인해 사용자의 계정 권한으로 몰래 작업이 수행되거나 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
A reflected Cross-Site Scripting (XSS) vulnerability in the Tenders module of the Coupa Supplier Portal SaaS platform. The vulnerability arises because the `list_item_function` parameter is reflected in the server’s response without proper output encoding or sanitisation, and is directly embedded within the context of a JavaScript event handler. An attacker with a low-privileged account could create a malicious URL containing JavaScript payloads which, when opened by a victim, would execute arbitrary scripts within the context of the victim’s browser. A successful exploit could allow the attacker to perform actions on the victim’s behalf, disclose accessible information or manipulate the user interface.
📍 영향받는 시스템
Coupa Supplier Portal SaaS (Tenders 모듈, 영향받는 정확한 버전 정보 미공개)
⚔️ 공격 벡터
낮은 권한 계정으로 악성 JavaScript가 포함된 list_item_function 파라미터 URL을 생성한 뒤 피해자가 클릭하도록 유도
🛡️ 대응 방법
Coupa 공식 패치를 적용하고, list_item_function 파라미터에 대해 출력 인코딩 및 입력값 검증을 적용
🔧 검증 코드
SaaS 서비스이므로 로컬 패키지 확인이 불가하며, 응답 헤더 확인은 참고용이고 실제 패치 여부는 Coupa 공지나 벤더 확인을 통해 판단해야 합니다.
curl -s -I https://supplier.coupa.com 2>/dev/null | grep -i 'server\|x-frame'