🇰🇷 한글 설명
FacturaScripts의 2025.7 및 이전 버전에서 fsNick 쿠키 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 애플리케이션이 쿠키 값을 적절한 검증이나 인코딩 없이 HTML에 직접 반영하여 발생합니다. 서버가 세션을 거부하고 로그아웃을 강제하지만, 페이로드가 포함된 HTML이 브라우저에 먼저 도달하여 스크립트가 즉시 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 쿠키 값에 악성 코드를 심어 사용자의 브라우저에서 실행되게 만드는 보안 약점입니다. 공격자는 이를 통해 사용자의 정보를 훔치거나 원치 않는 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
FacturaScripts is an open source accounting and invoicing software. Versions 2025.7 and prior contain a Reflected Cross-Site Scripting (XSS) vulnerability through the fsNick cookie parameter. The application reflects the cookie's value directly into the HTML without sanitization. The fsNick cookie is rendered into the DOM without encoding. While the server does reject the modified session and forces a logout, the HTML containing the payload reaches the browser first. This lets the script execute immediately upon load, effectively beating the redirect. This issue has been fixed in version 2025.8.
📍 영향받는 시스템
FacturaScripts 2025.7 및 그 이전 버전
⚔️ 공격 벡터
조작된 fsNick 쿠키 값을 포함한 HTTP 요청을 통해 브라우저에서 스크립트 실행
🛡️ 대응 방법
FacturaScripts를 보안 패치가 적용된 버전 2025.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2025.7 이하인지 확인하여 취약 여부를 판단합니다.
grep -r "FacturaScripts" /path/to/app/config/version.txt 2>/dev/null || echo 'Version file not found'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server