🇰🇷 한글 설명
HAX CMS 26.0.0 이전 버전은 `<iframe>` 요소의 부적절한 sanitization으로 인해 저장형 XSS 취약점이 존재합니다. 공격자는 `src` 속성에 `javascript:` URI를 삽입하여 피해자 브라우저에서 임의의 JavaScript 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트에 악성 스크립트가 저장되어 다른 사용자가 해당 페이지를 볼 때 자동으로 실행되는 문제입니다. 이를 통해 해커는 사용자의 민감한 정보를 탈취하거나 계정을 장악할 수 있습니다.
🇺🇸 원문 (English)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. A stored cross-site scripting (XSS) vulnerability exists in versions prior to 26.0.0 due to improper sanitization of `<iframe>` elements. The application allows `javascript:` URIs in the `src` attribute, which are executed when a malicious page is viewed. This enables attackers to execute arbitrary JavaScript in the context of the victim’s browser and access sensitive data exposed to client-side scripts. Version 26.0.0 fixes the issue.
📍 영향받는 시스템
HAX CMS versions prior to 26.0.0
⚔️ 공격 벡터
저장형 XSS를 통해 피해자의 브라우저에서 악성 JavaScript 코드 실행
🛡️ 대응 방법
HAX CMS를 버전 26.0.0 이상으로 업그레이드하여 취약점 해결
🔧 검증 코드
명령어 실행 결과 26.0.0 미만의 버전 정보가 출력되면 취약한 버전임을 확인
grep -r 'version' /path/to/haxcms/config.php | grep -v '26.0.0'