Anchor CMS v0.12.7 - 저장형 XSS (CVE-2025-46041)

Anchor CMS v0.12.7은 /admin/pages/add 인터페이스의 description 필드에서 저장형 크로스 사이트 스크립팅 (XSS) 취약점에 취약합니다.

CVE ID

CVE-2025-46041

요약

• 유형: 저장형 XSS
• 위치: 페이지 생성 인터페이스 (/admin/pages/add)
• 영향: 임의의 JavaScript 실행
• 인증 필요: 예 (관리자 또는 편집자 사용자)
• 영향 받는 버전: Anchor CMS v0.12.7 (발견 당시 최신 안정 버전)

개념 증명

1. /admin에 로그인합니다

2. Pages > Add Page로 이동합니다

3. Description 필드에 다음을 삽입합니다:

   root@kitploit:~

   <script>alert(document.domain)</script>
   

4. 페이지를 저장합니다

5. 페이지 보기로 다시 방문합니다 — 페이로드가 실행됩니다

영향을 받는 구성 요소

• 파일: anchor/routes/pages.php
• 필드: description

테스트 환경

• Ubuntu 22.04
• Apache2 + PHP 8.1
• Anchor CMS v0.12.7 (새로 설치)

발견자

@binneko

참고 자료

• Anchor CMS GitHub
• CVE 레코드 - CVE-2025-46041

면책 조항

교육 및 방어 목적으로만 사용하십시오.