🇰🇷 한글 설명
StockAgile API 및 관리 패널에서 발생하는 저장형 XSS 취약점입니다. '/inventory/configuration/serial-number-types' REST 엔드포인트의 'code', 'name' 등의 필드에 악성 자바스크립트를 삽입하여 서버에 저장할 수 있습니다. 인증된 공격자가 이를 악용하면 관리 패널을 사용하는 사용자의 브라우저에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
공격자가 관리 시스템의 특정 입력창에 몰래 악성 코드를 심어둘 수 있는 보안 약점입니다. 이 코드가 저장되면 관리자가 해당 페이지를 열 때마다 공격자가 의도한 동작이 자동으로 실행될 수 있습니다.
🇺🇸 원문 (English)
Stored Cross-Site Scripting (XSS) vulnerability in StockAgile API and management panel. The vulnerability is present on the server side in REST endpoint '/inventory/configuration/serial-number-types' that allow the injection and persistence of malicious JavaScript code through parameters such as ‘code’, ‘name’, and other text fields. The scripts that are entered are not filtered or validated correctly before being displayed on the web panel that authenticated users can access. Exploiting this vulnerability could allow a remote, previously authenticated attacker to execute arbitrary JavaScript code.
📍 영향받는 시스템
StockAgile API 및 관리 패널 (버전 미상)
⚔️ 공격 벡터
인증된 공격자가 API 엔드포인트의 텍스트 필드에 악성 스크립트를 삽입하여 서버에 저장
🛡️ 대응 방법
입력값에 대한 서버 측 검증 및 필터링을 강화하고, 출력 시 HTML 엔티티 인코딩을 적용해야 합니다.
🔧 검증 코드
응답 본문에 <script> 태그나 alert()와 같은 스크립트 패턴이 포함되어 있다면 취약한 상태입니다.
curl -i -X GET 'https://<target>/inventory/configuration/serial-number-types' | grep -E '<script|alert\('
💻 영향받는 소프트웨어
Multi-Domain Security Management Server