🇰🇷 한글 설명
FacturaScripts 2025.92 이하 버전의 판매 및 구매 문서 제품 검색 모달(SalesModalHTML.php, PurchasesModalHTML.php)에 저장형 XSS 취약점이 존재합니다. 창고 모듈 접근 권한이 있는 인증된 사용자가 악성 참조값을 가진 제품을 생성하면, 해당 제품을 검색 모달에서 조회하는 다른 사용자의 브라우저에서 임의의 JavaScript가 실행될 수 있습니다.
💡 쉬운 설명
회계·청구 프로그램에서 상품 검색 창에 악성 코드를 심어 둘 수 있는 취약점입니다. 이 창을 여는 다른 직원의 브라우저에서 해당 코드가 몰래 실행될 수 있습니다.
🇺🇸 원문 (English)
FacturaScripts is an open source accounting and invoicing software. In 2025.92 and earlier, a stored Cross-Site Scripting (XSS) vulnerability exists in the product search modal of sales (Core/Lib/AjaxForms/SalesModalHTML.php) and purchases documents (Core/Lib/AjaxForms/PurchasesModalHTML.php). An authenticated user with access to the warehouse module can create a product with a malicious reference that executes arbitrary JavaScript in the browser of any other user who opens the product search modal inside an invoice, order, or delivery note.
📍 영향받는 시스템
FacturaScripts 2025.92 및 이전 버전
⚔️ 공격 벡터
창고 권한을 가진 인증 사용자가 악성 스크립트가 포함된 제품 참조값을 등록하고, 피해자가 송장·주문·납품서에서 제품 검색 모달을 열 때 스크립트가 실행됨
🛡️ 대응 방법
FacturaScripts를 2025.93 이상 버전으로 업데이트하고, 제품 참조값 입력을 검증 및 이스케이프 처리하도록 조치
🔧 검증 코드
출력된 버전 값이 2025.93 미만이면 취약한 버전이므로 업데이트가 필요하며, 파일이 없거나 결과가 없으면 FacturaScripts 설치 경로를 직접 확인해야 합니다.
grep -rn "version" $(find / -path '*facturascripts*' -name 'Init.php' 2>/dev/null | head -1) 2>/dev/null | head -5