CVE-2024-25175

HTTP 응답 분할을 통한 반사형 XSS

설명: 이 취약점을 악용하면 특수하게 조작된 링크를 따라갈 때 피해자 브라우저에서 JavaScript 코드가 실행될 수 있습니다 (Cross-Site Scripting). 취약점은 웹 서버가 줄바꿈 문자(\r\n 또는 CR\LF, URL 인코딩에서는 %0d%0a)를 올바르게 처리하지 않기 때문에 발생합니다.

영향: 반사형 XSS

CVSSv3.1 vector: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N (6.1)

CWE: CWE-20: 부적절한 입력 검증

영향을 받는 구성 요소: GET 매개변수 kickidler_authentication_token

공급업체: Kickidler: 직원 모니터링 소프트웨어

영향을 받는 제품

• Kickdler Server 버전 1.107.0 이전

재현 단계:

http://[IP_kickdler_server]:8123/?kickidler_authentication_token=test%0d%0a%0d%0a%3Cscript%3Ealert(document.domain)%3C/script%3E