CVE-2024-50962

DonWeb Ferozo Webmail의 크로스 사이트 스크립팅(XSS) (CVE-2024-50962)

설명

Ferozo Webmail v1.1의 크로스 사이트 스크립팅(XSS) 취약점으로 인해 공격자가 Identities 및 Automatic Responses 구성 요소를 통해 임의의 스크립트를 실행할 수 있습니다. 이 취약점은 사용자 세션을 하이재킹하고, 피싱 공격을 수행하며, 자격 증명을 탈취하는 데 사용될 수 있습니다.

공격 복잡성

• 낮음

필요한 권한

• 없음

사용자 상호 작용

• 필요함 (사용자가 주입된 스크립트가 포함된 구성 요소와 상호 작용해야 합니다.)

영향을 받는 구성 요소

• Identities 페이지 및 Automatic Responses: 입력 검증 부족으로 악성 스크립트 주입이 가능합니다.

영향

• 세션 하이재킹: 공격자가 사용자 세션을 제어할 수 있습니다.
• 피싱: 내장된 iframe을 사용하여 피싱 공격을 수행할 수 있습니다.

해결 방법

• 입력 정화: 강력한 입력 검증 및 정화를 구현합니다.
• XSS 필터링: 콘텐츠 보안 정책(CSP)을 적용하여 무단 스크립트 실행을 방지합니다.

---

CVE-2024-50962
보고자: [Facundo Fernandez / 보안 연구원]