🇰🇷 한글 설명
HAX CMS 26.0.0 이전 버전은 인증된 공격자가 저장된 XSS와 API의 동적 토큰 노출을 결합하여 전체 크로스 테넌트 계정 탈취를 허용합니다. `/system/api/connectionSettings` 엔드포인트는 JWT 및 사용자 토큰 등 인증 정보를 전역 JavaScript 변수에 누출시키며, 이를 통해 공격자는 피해자의 세션 토큰을 추출하여 악성 웹훅으로 유출할 수 있습니다.
💡 쉬운 설명
이 취약점은 시스템의 설정 페이지에서 로그인 정보와 같은 중요한 키를 실수로 공개하는 문제입니다. 해커는 이 키를 훔쳐서 다른 사용자의 계정을 무단으로 접속하고 장악할 수 있습니다.
🇺🇸 원문 (English)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Prior to version 26.0.0, an attack chain utilizing Stored XSS alongside dynamic token exposure in the `/system/api/connectionSettings` endpoint allows an authenticated attacker to perform a complete cross-tenant account takeover. The API dynamically leaks the active session's authentication tokens (including the `jwt`, `user_token`, `site_token`, and `appstore_token`) into a global JavaScript variable (`window.appSettings`). An attacker can exploit the XSS vulnerability to force a victim's browser to silently fetch their specific connection settings, extract the tokens, and exfiltrate them to an attacker-controlled webhook. Version 26.0.0 patches the issue.
📍 영향받는 시스템
HAX CMS version < 26.0.0
⚔️ 공격 벡터
저장된 XSS를 통해 피해자의 브라우저를 조작하여 `/system/api/connectionSettings` API 호출을 유도하고, 반환된 전역 변수에서 인증 토큰을 추출하여 외부로 유출합니다.
🛡️ 대응 방법
HAX CMS를 버전 26.0.0 이상으로 업그레이드하여 API의 토큰 누출 및 XSS 취약점을 패치해야 합니다.
🔧 검증 코드
명령어 실행 결과 인증 토큰이 window.appSettings 객체에 할당되어 노출되는 코드가 발견되면 취약점이 존재하는 것으로 판단합니다.
grep -r 'window.appSettings' /path/to/haxcms/ 2>/dev/null | grep -E 'jwt|user_token|site_token|appstore_token'