Leantime-POC

CVE-2024-27474, CVE-2024-27476, CVE-2024-27477

설명

다음 취약점들은 목표 중심 프로젝트 관리 시스템인 Leantime 버전 3.0.6에서 식별되었습니다.

CVE-2024-27474

트리거되면 계정을 생성하고 해당 계정의 권한을 관리자 역할로 승격시키는 사이트 간 요청 위조(CSRF) 취약점입니다.

CVE-2024-27476

공격자가 href 속성 또는 앵커 태그를 통해 악성 HTML 코드를 애플리케이션에 주입할 수 있게 하는 HTML 인젝션 취약점입니다. 제 개념 증명(POC)에서는 이를 사용하여 "피해자"(일명 제 자신)를 공격자가 제어하는 로그인 페이지로 리디렉션하여 해당 페이지에서 자격 증명을 도난당할 수 있게 했습니다.

CVE-2024-27477

트리거되면 원격 서버에 요청을 보내 서버 측 요청 위조 공격을 수행하는 사이트 간 스크립팅(XSS) 취약점입니다. 이는 해당 취약점이 저장된 페이지를 방문하는 의심하지 않는 사용자의 쿠키를 훔치는 데 악용될 수 있습니다.