CVE-2026-30695 - Zucchetti Axess의 XSS 취약점

요약

Zucchetti Axess 출입통제 장치(XA4, X3/X3BIO, X4, X7, XIO, i-door, i-door+)의 웹 기반 설정 인터페이스에 XSS(교차 사이트 스크립팅) 취약점이 존재합니다.

이 취약점은 /file_manager.cgi 엔드포인트의 dirBrowse 매개변수에서 사용자 입력값에 대한 부적절한 삭제(샌니타이제이션)로 인해 발생합니다. 인증된 공격자는 관리 사용자의 컨텍스트에서 실행되는 임의의 JavaScript 코드를 주입할 수 있습니다.

성공적으로 악용될 경우 세션 하이재킹, 무단 설정 변경, 민감한 정보 노출로 이어질 수 있습니다.

영향받는 제품

• XIO h06 빌드 5522
• IDOOR+ h06 빌드 5522
• XA4 h06 빌드 5522
• X3 h02 빌드 4163

PoC

GET /file_manager.cgi?dirBrowse=PAYLOAD

기본 예제 페이로드:

">

영향