CVE-2025-50363_BXSS_CVE

프로젝트 이름 및 저장소 URL: PHP와 MySQL을 사용한 메이드 고용 관리 시스템

취약점 유형: 블라인드 XSS를 통한 권한 상승

영향받는 버전: v1.0

💣취약점 설명: 메이드 고용 관리 시스템에서 블라인드 XSS(Blind Cross-Site Scripting) 취약점이 발견되었습니다. 이 취약점은 일반 사용자(예: 메이드 또는 고용주)가 권한을 상승시키고 잠재적으로 관리자 계정을 탈취할 수 있도록 합니다.

👩‍💻영향: 전체 관리자 계정 탈취, 민감한 데이터 접근, 시스템 조작 가능.

🛜개념 증명(PoC)

1. 사용자가 구인 게시물에 지원할 수 있는 mhms/maid-hiring.php 페이지가 있었습니다.
2. 이름 필드에 블라인드 XSS 페이로드를 입력하고 양식을 제출합니다.
3. 관리자가 지원서를 확인하면 블라인드 XSS 페이로드가 실행됩니다.
4. 블라인드 XSS 페이로드의 응답을 확인하면 관리자의 세션 쿠키가 포함되어 있습니다.
5. 관리자 쿠키를 사용하여 권한을 상승시킵니다.

권장 사항: 입력값 정화, 출력 인코딩 적용, CSP(Content Security Policy) 구현.