🇰🇷 한글 설명
IngEstate Server v11.14.0의 소프트웨어 패키지 목록 페이지 내 편집 기능에서 여러 개의 저장형 XSS 취약점이 발견되었습니다. 공격자는 About application, What's news 또는 Release note 파라미터에 악성 페이로드를 주입하여 임의의 웹 스크립트나 HTML을 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 입력창에 악성 코드를 몰래 저장해두는 공격 방식입니다. 이를 통해 다른 사용자가 해당 페이지를 볼 때 공격자가 원하는 동작을 강제로 수행하게 만들 수 있습니다.
🇺🇸 원문 (English)
Multiple stored cross-site scripting (XSS) vulnerabilities in the Edit feature of the Software Package List page of IngEstate Server v11.14.0 allow attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the About application, What's news, or Release note parameters.
📍 영향받는 시스템
IngEstate Server v11.14.0
⚔️ 공격 벡터
소프트웨어 패키지 목록의 편집 기능 내 특정 파라미터(About, What's news, Release note)에 악성 스크립트 주입
🛡️ 대응 방법
해당 소프트웨어의 보안 패치 적용 또는 입력값에 대한 검증 및 출력값 인코딩 강화
🔧 검증 코드
응답 결과에서 해당 파라미터 값에 HTML 태그나 스크립트가 필터링 없이 그대로 포함되어 있는지 확인합니다.
curl -s http://<target_ip>/path/to/software_list | grep -E 'About|What\'s news|Release note'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server