🇰🇷 한글 설명
Ekushey Project Manager CRM 5.0 이하 버전에는 인증된 클라이언트 사용자가 Edit Profile 페이지의 client Name 필드에 악성 페이로드를 입력할 수 있으며, 이 값이 필터링 없이 저장됩니다. 이후 Staff나 Administrator가 Manage Clients 또는 Manage Client Projects 페이지를 열면 해당 스크립트가 그들의 브라우저에서 실행되는 저장형 XSS 취약점입니다.
💡 쉬운 설명
고객 계정으로 로그인한 공격자가 자신의 이름 칸에 악성 코드를 숨겨 넣을 수 있습니다. 관리자나 직원이 그 고객 정보를 열어보는 순간 악성 코드가 실행되어 세션 정보 등이 탈취될 수 있습니다.
🇺🇸 원문 (English)
Ekushey Project Manager CRM through version 5.0 contains a stored cross-site scripting vulnerability that allows authenticated client users to inject arbitrary HTML and JavaScript by entering malicious payloads into the client Name field on the Edit Profile page without sanitization. Attackers can craft and store malicious scripts that execute in the browser sessions of Staff or Administrator users who view the Manage Clients or Manage Client Projects pages where client names are rendered unsanitized.
📍 영향받는 시스템
Ekushey Project Manager CRM 5.0 이하 버전
⚔️ 공격 벡터
인증된 클라이언트 계정으로 Edit Profile의 Name 필드에 스크립트를 저장한 뒤, 직원/관리자가 해당 페이지를 열도록 유도
🛡️ 대응 방법
벤더의 패치 버전으로 업그레이드하고, 입력값과 출력값에 대한 HTML 이스케이프 처리 및 입력 검증을 적용
🔧 검증 코드
결과에 표시된 버전 값이 5.0 이하이면 취약한 것이며, 해당 값이 보이지 않으면 설치 경로를 직접 확인해야 합니다.
grep -ri 'ekushey' /var/www 2>/dev/null | grep -iE 'version' | head -n 5