gpheheise/cve-2025-70600---urve-smart-office---stored-xss-in-ios-appURVE Smart Office iOS 앱의 저장된 교차 사이트 스크립팅(XSS) 취약점에 대한 개념 증명으로, CVE 세부 정보, 영향 분석 및 모바일 보안 평가를 위한 수정 지침을 포함합니다.
이 저장소는 URVE Smart Office의 iOS 모바일 애플리케이션에 영향을 미치는 저장형 크로스 사이트 스크립팅(XSS) 취약점에 대한 **개념 증명(PoC)**을 문서화합니다.
입력 검증이 충분히 구현되지 않아 공격자가 제어하는 JavaScript가 타일의 HTML 필드에 주입될 수 있습니다. 페이로드는 저장되며, 이후 영향을 받는 콘텐츠가 모바일 클라이언트에 전달되어 iOS 기기에서 렌더링될 때 실행됩니다.
⚠️ 법적 고지
상호 동의 없이 대상을 공격하기 위해 이 PoC를 사용하는 것은 불법입니다.
모든 해당 지역, 주, 연방 법률을 준수하는 것은 최종 사용자의 책임입니다.
저자 및 기여자는 어떠한 오용이나 손해에 대해 책임을 지지 않습니다.
보안 평가 중에 URVE Smart Office 관리 인터페이스 내에서 임의의 JavaScript 코드가 타일의 HTML 필드에 주입될 수 있었습니다.
애플리케이션이 사용자 입력을 적절히 검증하고 정화하지 못하여 타일 콘텐츠를 저장하고 모바일 클라이언트에 배포합니다. 그 결과:
이 동작은 무해한 JavaScript alert 페이로드를 사용하여 확인되었습니다.
식별된 주입 지점은 완전하지 않습니다.
사용 가능한 모든 입력 필드가 테스트된 것은 아니며, 추가적인 영향을 받는 벡터가 존재할 수 있습니다.
다음 이미지는 익스플로잇 흐름을 보여줍니다:
참고:
이 저장소는 오용을 방지하기 위해 전체 운영 익스플로잇 단계 및 페이로드 세부 정보를 의도적으로 생략합니다. PoC는 문서화 및 수정 목적으로만 제공됩니다.
성공적인 익스플로잇을 통해 공격자는 다음을 수행할 수 있습니다:
| 날짜 | 이벤트 |
|---|---|
| 2025-XX-XX | 취약점 발견 |
| 2025-XX | 벤더에 통보 |
| NA | 벤더가 확인 |
| NA | 패치 출시 |
| 2026-01-15 | 공개 공개 |
이 저장소는 익스플로잇 코드를 포함하지 않습니다.
PoC는 다음을 위해 제공됩니다:
허가 없이 시스템을 테스트하기 위해 이 정보를 사용하지 마십시오.
무단 보안 테스트는 불법이며 민사 또는 형사 처벌을 초래할 수 있습니다.
© 2026 Georg Ph. E. Heise / Lufthansa Industry Solutions
