CVE-2024-57522 - Users.php에 저장된 XSS 취약점 - SourceCodester Packers and Movers Management System 1.0

설명

이 저장소는 SourceCodester의 Packers and Movers Management System 1.0에 존재하는 저장형 교차 사이트 스크립팅(XSS) 취약점에 대한 개념 증명(PoC)을 포함합니다. 해당 취약점은 Users.php 엔드포인트에 존재하며, 공격자가 사용자 생성 시 사용자 이름 또는 이름 필드에 악성 스크립트를 주입할 수 있습니다. 스크립트는 데이터베이스에 저장된 후 관리자가 사용자 목록 페이지를 볼 때 실행되어 잠재적인 악의적 행위로 이어질 수 있습니다.

취약점 세부 사항

• CVE-2024-57522
• 영향받는 제품: Packers and Movers Management System 1.0
• 영향받는 구성 요소: Users.php 엔드포인트
• 공격 유형: 원격
• 영향: 악성 스크립트 실행, 세션 하이재킹, 피싱, 악성 리디렉트
• 보안 영향: 공격자는 관리자 브라우저의 컨텍스트에서 임의의 JavaScript 코드를 주입하고 실행할 수 있습니다. 주입된 스크립트는 지속성을 가지며, 관리자가 사용자 목록 페이지를 볼 때 세션 하이재킹, 피싱 및 기타 악성 활동이 가능합니다.

개념 증명(PoC)

이 저장소는 CVE-2024-57522.mkv라는 PoC 비디오를 포함하며, 공격자가 XSS 취약점을 어떻게 악용할 수 있는지 보여줍니다. PoC는 공격자가 이름 필드에 페이로드(예: <script>alert(1);</script>)를 삽입하여 새로운 관리자 사용자를 생성하는 방법을 보여줍니다. 관리자가 사용자 목록 페이지를 방문하면 악성 스크립트가 실행되어 "1" 메시지가 포함된 경고창이 표시됩니다.

공격 벡터