b1tbreaker/cve-2025-56795Mealie 3.0.1 이하 버전의 레시피 생성 기능에 영향을 미치는 저장형 크로스 사이트 스크립팅(XSS) 취약점
Mealie의 레시피 생성 기능에서 두 개의 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 이는 버전 3.0.1까지의 모든 버전에 영향을 미칩니다.
레시피 생성 시 제공된 무결성 검사가 되지 않은 사용자 입력이 저장되고, 이후 프론트엔드에서 적절한 이스케이프 없이 렌더링되어 지속형 XSS가 발생합니다.
새 레시피를 생성할 때 다음 필드가 취약합니다:
재료 메모 (note 매개변수):
이 필드에 입력된 값은 저장된 후 레시피 상세 보기에서 렌더링되어, 주입된 JavaScript 페이로드 실행을 허용합니다.
지침 텍스트 (text 매개변수):
이 필드에 입력된 값도 저장되어 레시피 상세 보기에서 렌더링되므로, 레시피를 볼 때 JavaScript가 실행됩니다.
새 레시피 생성 후 JSON 응답에서 취약한 매개변수를 보여주는 스크린샷:
note 매개변수를 통해 트리거된 브라우저 알림 (“첫 번째 저장형 XSS”):
text 매개변수를 통해 트리거된 브라우저 알림 (“두 번째 저장형 XSS”):
