CVE-2025-61319: ReNgine <= 2.2.0의 저장형 XSS

발견자: Amal J 공급업체: ReNgine
CVE ID: CVE-2025-61319
상태: RESERVED (공개 참조 추가: MITRE 업데이트 대기 중)

---

설명

ReNgine <= 2.2.0의 Vulnerabilities 모듈에 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다.
악성 페이로드가 포함된 대상이 스캔되면 해당 페이로드가 ReNgine 웹 UI에서 삭제되지 않은 채 렌더링되어, 관리자 브라우저에서 임의의 JavaScript가 실행될 수 있습니다.

---

영향

• 세션 하이재킹
• UI 손상
• 관리자 세션에서의 무단 작업

---

개념 증명(PoC)

1. 페이로드가 포함된 URL을 스캔합니다: ?param="><svg onload=confirm('xss')>
2. 스캔 완료 후 ReNgine에서 Vulnerabilities 탭을 열고 결과를 확인합니다.
3. 페이로드가 관리자 브라우저 컨텍스트에서 실행됩니다.

---

영향을 받는 버전

• ReNgine <= 2.2.0

---

해결 방법

스캔 결과를 렌더링하기 전에 사용자 입력을 삭제(sanitize)하고 이스케이프 처리합니다.
Vulnerabilities 탭에서 사용자 제어 출력에 적절한 HTML 인코딩을 구현합니다.

---

참조