🇰🇷 한글 설명
AdaptiveGRC의 양식 전반에 걸친 텍스트 입력 필드에서 저장형 XSS 취약점이 존재합니다. 인증된 공격자는 HTTP POST 요청에서 텍스트 필드 값을 조작할 수 있으며, 서버의 부적절한 파라미터 검증으로 피해자 브라우저에서 임의의 JavaScript가 실행됩니다. 이를 통해 관리자 인증 토큰을 탈취하고 관리자 권한으로 임의의 작업을 수행할 수 있습니다. 2025년 12월 이전에 출시된 버전에 영향을 줍니다.
💡 쉬운 설명
로그인한 사용자가 입력 칸에 악성 스크립트를 심어두면, 관리자가 그 페이지를 볼 때 스크립트가 실행됩니다. 이로 인해 관리자의 권한이 빼앗길 수 있습니다.
🇺🇸 원문 (English)
AdaptiveGRC is vulnerable to Stored XSS via text type fields across the forms. Authenticated attacker can replace the value of the text field in the HTTP POST request. Improper parameter validation by the server results in arbitrary JavaScript execution in the victim's browser.
Critically, this may allow the attacker to obtain the administrator authentication token and perform arbitrary actions with administrative privileges, which could lead to further compromise.
This issue occurs in versions released before December 2025.
📍 영향받는 시스템
AdaptiveGRC 2025년 12월 이전 릴리스 버전
⚔️ 공격 벡터
인증된 공격자가 텍스트 필드에 악성 JavaScript를 포함한 POST 요청을 보내 저장형 XSS를 유발
🛡️ 대응 방법
AdaptiveGRC를 2025년 12월 이후 릴리스 버전으로 업데이트하고 입력값 검증 및 출력 인코딩을 적용
🔧 검증 코드
출력된 버전 정보가 2025년 12월 이전이면 취약한 것이며, 12월 이후 버전이면 패치가 적용된 것으로 판단합니다. 결과가 없으면 설치 경로를 직접 확인해야 합니다.
grep -ri 'adaptivegrc' /opt /var/www /usr/local 2>/dev/null | grep -iE 'version' | head -n 5