CVE-2026-1953 | 저장형 XSS — Nukegraphic CMS v3.1.2

개요

Nukegraphic CMS v3.1.2에 저장형 교차 사이트 스크립팅(XSS) 취약점이 존재합니다.
이 문제는 인증된 사용자가 프로필 이름 필드에 악성 JavaScript를 주입할 수 있게 하며, 이는 백엔드 데이터베이스에 저장되고 CMS 전반에서 이름이 렌더링되는 모든 곳에서 자동으로 실행됩니다.

• 제품: Nukegraphic CMS
• 버전: v3.1.2
• 취약점 유형: 저장형 XSS (CWE-79)
• CVSS v3.1: 8.1 (높음)
• 벡터: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
• 발견자: Carlos Budiman & Nicholas Abraham

영향을 받는 엔드포인트

https://target.com/ngc-cms/user-edit-profile.php

페이로드는 CMS 전체에서 실행됩니다.

POC 단계

1. 유효한 사용자로 로그인합니다.
2. 프로필 편집으로 이동합니다.
3. 프로필 업데이트 요청을 가로챕니다.
4. name 매개변수에 다음을 주입합니다:

<script>alert(1)</script>

5. 요청을 전달합니다.