---

📍 보고서 요약

[!IMPORTANT] 이 보고서는 공개 GitHub 게시를 위해 의도적으로 정제되었습니다. 민감한 식별자, 자격 증명, 인프라 값, 고객별 증거는 명확한 플레이스홀더로 대체되었습니다.

🧭 빠른 탐색

• 경영진 요약
• 기술 분석
• 영향
• 수정(Remediation)
• 교훈 및 완화 전략

[!TIP] 빠른 검토를 위해서는 경영진 요약(Executive Summary)과 영향(Impact) 섹션부터 시작하세요. 기술적 깊이를 원한다면 기술 분석(Technical Analysis)과 수정(Remediation) 섹션으로 이어서 읽으세요.

🏷️ 제목

CVE-2026-36214 - Bootstrap Tooltip을 통한 osTicket 저장형 XSS

---

🧾 경영진 요약

osTicket 티켓 관리 시스템(버전 1.101.17.7 및 1.18.01.18.3)에서 CVE-2019-8331로 알려진 취약점이 있는 Bootstrap Tooltip 3.3.4 구성 요소의 사용으로 인해 발생하는 저장형 XSS(Cross-Site Scripting) 보안 취약점입니다.

이 취약점으로 인해 일반 사용자(티켓 생성 시 인증 없음)가 티켓 메시지에 악성 JavaScript 코드를 주입할 수 있습니다. 이 메시지를 에이전트(Agent) 또는 **관리자(Admin)**가 열람하면 해당 코드가 그들의 세션 컨텍스트에서 실행되어 세션 탈취와 티켓 시스템 전체 제어가 가능해집니다.

---

🔬 기술 분석

이 취약점은 애플리케이션 보안 및 인프라 위험 관점에서 평가되었습니다. 핵심 문제는 **저장형 XSS(Stored XSS)**로 분류되며, 공개 포트폴리오 게시에 적합한 정제(sanitized) 형태로 문서화되었습니다.

osTicket은 기업에서 널리 사용되는 오픈소스 티켓 시스템으로, 사용자가 티켓 내에 HTML 콘텐츠와 첨부 파일을 업로드할 수 있습니다.

---

📊 영향

• 신뢰된 사용자 세션에서 공격자가 제어하는 스크립트 실행.
• 세션 남용, 무단 작업, 고객 대면 포털의 평판 노출.

---

🛠️ 수정(Remediation)

---

🧠 교훈 및 완화 전략

• 애플리케이션 로직이 사용자 제어 값을 파일시스템, 셸, 파서 또는 외부 도구로 전달하는 경우 특히, 모든 통합 경계를 신뢰할 수 없는 것으로 취급하십시오.
• 보안 검토는 첫 번째 취약한 엔드포인트뿐만 아니라 전체 익스플로잇 체인을 검증해야 합니다. 낮은 심각도의 잘못된 구성이라도 체인으로 연결되면 치명적이 될 수 있습니다.
• 공개 문서는 운영 식별자, 자격 증명 또는 재사용 가능한 공격 아티팩트를 노출하지 않고 위험, 근본 원인 및 수정 방법을 설명해야 합니다.
• 방어 통제는 예방적 검증, 런타임 최소 권한, 텔레메트리, 패치 거버넌스를 결합하여 악용 가능성과 폭발 반경(blast radius)을 모두 줄여야 합니다.

---

🧼 공개 정제 참고 사항

• 민감한 인프라 식별자, IP 주소, 호스트 이름, 자격 증명, 해시 및 이메일 주소는 명시적 플레이스홀더로 대체되었습니다.
• 재사용 가능한 운영 증거는 공개 GitHub 게시에 적합하도록 최소화되거나 추상화되었습니다.
• 이 문서는 OWASP WSTG 보고 기대치와 같은 일반적인 웹 보안 테스트 보고 관행에 부합하는 컨설턴트 스타일 구조를 사용합니다.

---