CVE-2025-29015 - Internet Banking System 2.0.0의 pages_account.php 저장형 XSS

설명

Code Astro Internet Banking System 2.0.0의 /admin/pages_account.php에서 name 매개변수를 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 악성 JavaScript 코드가 시스템에 주입되어 저장되며, 관리자가 해당 페이지를 볼 때 실행됩니다. 이로 인해 세션 하이재킹 및 기타 클라이언트 측 공격이 발생할 수 있습니다.

영향을 받는 구성 요소

• /admin/pages_account.php의 name 매개변수
• 데이터는 관리자가 접근할 때 저장되고 실행됩니다.

익스플로잇 단계

1. 관리자 패널에 로그인하고 "Account" 섹션으로 이동합니다.

3. name 필드에 다음 페이로드를 삽입하고 양식을 제출합니다:

   //--></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(98, 49, 116, 109, 52, 114));</SCRIPT>

3. 사용자가 페이지나 메뉴를 방문하면 페이로드가 실행됩니다.

영향

• 세션 하이재킹
• 피싱 공격
• 관리자를 대신한 임의 작업

완화 방안

• 적절한 입력 검증(예: 특수 문자 이스케이프)을 구현합니다.
• CSP(콘텐츠 보안 정책)를 사용하여 스크립트 실행을 제한합니다.
• 사용자 입력을 저장하기 전에 검증하고 인코딩합니다.

참고 자료

• OWASP XSS 가이드