[CVE-2025-50754] 저장형 XSS를 통한 PHP 기반 CMS 플랫폼에서의 원격 코드 실행

요약

PHP 기반 CMS 플랫폼(버전 5)의 "Report" 기능에 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 관리자가 사용자가 제출한 보고서를 열람할 때 악성 JavaScript가 관리자 패널 컨텍스트 내에서 실행됩니다. 이를 통해 공격자는 관리자 세션을 탈취하고 내장 템플릿 편집기를 활용하여 PHP 웹 셸을 업로드함으로써 서버에서 완전한 원격 코드 실행(RCE)을 달성할 수 있습니다.

기술적 세부 사항

• 취약점 유형: 저장형 크로스 사이트 스크립팅(XSS)
• 영향받는 제품: CMS 플랫폼 v5
• 공격 유형: 원격
• 영향:
  • 원격 코드 실행(RCE): 예
  • 정보 노출: 예

공격 벡터 (추상적 설명)

공격자는 공개된 "Report" 양식을 통해 악성 JavaScript 페이로드를 제출합니다. 로그인한 관리자가 백엔드에서 이 콘텐츠를 열람하면 해당 스크립트가 관리자 브라우저에서 실행되어 세션 쿠키가 유출됩니다.

세션을 탈취한 후 공격자는 관리 인터페이스, 특히 템플릿 편집기에 접근할 수 있습니다. 이 기능을 사용하여 공격자는 .tpl 파일에 PHP 코드를 주입하여 지속적인 웹 셸을 구축하고 서버에서 임의의 명령을 실행합니다.

참고: 악용을 방지하기 위해 구체적인 페이로드나 코드 스니펫은 포함되지 않았습니다. 조직은 입력 검증, 세션 강화, 관리자 기능 접근 제어를 구현하는 것이 강력히 권장됩니다.

익스플로잇 단계 (개괄 수준)

1. 공격자는 악성 스크립트가 포함된 특수하게 조작된 보고서를 제출합니다.
2. 관리자가 관리자 대시보드를 통해 보고서를 엽니다.
3. 스크립트가 실행되며 관리자 세션 쿠키가 캡처됩니다.
4. 해당 세션을 사용하여 공격자는 관리자 패널에 로그인합니다.
5. 공격자는 템플릿 편집기를 통해 템플릿 파일에 PHP를 주입합니다.
6. 업로드된 셸을 통해 원격 코드 실행이 이루어집니다.

영향

• 완전한 관리자 권한 탈취
• 서버에서 임의의 명령 실행
• 데이터 유출 또는 변조
• 업로드된 백도어를 통한 잠재적 지속성

발견자

• Furkan Mehmet Yıldız
• Emrullah Baha Yılmaz

CVE 정보

• CVE ID: CVE-2025-50754
• 상태: 예약됨 (공개 권고 대기 중)

개념 증명 (PoC)

템플릿 편집기를 통해 사용자 정의 웹 셸(s.php)을 업로드하고 OS 수준 명령을 실행하여 성공적인 익스플로잇을 확인했습니다. 아래 정리된 이미지는 웹 셸을 통해 실행된 id; ls -la 명령의 출력을 보여줍니다:

이는 공격자가 웹 서버 사용자 권한으로 명령을 실행하고 파일 시스템 내용에 접근할 수 있었음을 증명합니다.

uid=1003(t******_usr) gid=1006(t******_usr) groups=1006(t******_usr),995(fastmail),1002(fastsecure)
...
-rw-r--r-- 1 t******_usr t******_usr 6481 Nov 27 2024 rss.php
-rw-r--r-- 1 t******_usr t******_usr 64 Jul 31 12:24 s.php

참고 자료

• CVE 레코드: https://cve.org/CVERecord?id=CVE-2025-50754

임시 완화 조치

게시 시점 기준으로 공식 패치는 공급업체로부터 제공되지 않았습니다. 위험을 줄이기 위해:

• 관리자 패널에서 렌더링되는 모든 사용자 입력을 정제하고 이스케이프 처리하십시오.
• 신뢰할 수 없는 HTML 또는 JavaScript를 렌더링하지 마십시오.
• 엄격한 콘텐츠 보안 정책(CSP)을 적용하십시오.
• 템플릿 편집기와 같은 민감한 기능에 대한 접근을 제한하십시오.

Furkan Yıldız & Baha Yılmaz 보고