CVE-2024-51026 - NetAdmin IAM의 사이트 간 스크립팅(XSS) 취약점

설명

NetAdmin IAM 시스템(버전 4.0.30319)은 /BalloonSave.ashx 엔드포인트에서 사이트 간 스크립팅(XSS) 취약점을 나타내며, Content= 필드에 악성 페이로드를 주입할 수 있습니다. 인증된 모든 사용자는 이 취약점을 악용하여 설명된 엔드포인트 내 요청의 "Content" 필드에 스크립트를 삽입할 수 있습니다. 이 스크립트는 취약한 페이지가 새로고침될 때마다 실행됩니다.

취약점 세부 사항

• 유형: 사이트 간 스크립팅(XSS)
• 영향을 받는 버전: 4.0.30319

CVSS 점수 및 공격 벡터

• 기본 점수(CVSS): 7.3
• 공격 벡터: CVSS 계산기

취약한 엔드포인트

• URL: https://netadmin.mysystem/BalloonSave.ashx
• 영향을 받는 매개변수: Content=

해결 방법

수정 상태

• 승인 중: 이 취약점에 대한 수정 사항은 현재 승인 단계에 있습니다.

완화 권장 사항

공급업체에서 공식 수정 사항을 제공할 때까지 다음을 권장합니다.

1. 시스템 공급업체에 버전 업데이트를 요청하십시오.
2. 사용자 데이터 입력에 제한을 두는 등 추가 보안 조치를 구현하여 XSS 주입 위험을 완화하십시오.

완화 참조

• CWE-79: 웹 페이지 생성 시 입력 값의 부적절한 중성화('사이트 간 스크립팅')
• CWE-80: 웹 페이지에서 스크립트 관련 HTML 태그의 부적절한 중성화(기본 XSS)
• CWE-116: 출력의 부적절한 인코딩 또는 이스케이프
• CWE-159: 불충분한 권한 처리

---

이 취약점에 대한 자세한 내용이나 완화 조치 구현에 대한 기술 지원이 필요하면 공급업체의 보안 지원팀에 문의하십시오.