CVE-2026-26211: Ekushey Project Manager CRM의 저장형 XSS

제품: Ekushey Project Manager CRM
버전: 5.0
취약점: 저장형 크로스 사이트 스크립팅(XSS)
CWE: CWE-79
연구자: LINDAN TRI SAPUTRA
최초 보고: 2026년 8월 1일

요약

Ekushey Project Manager CRM 버전 5.0에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 확인되었습니다. 이 문제는 애플리케이션 설정, 구체적으로 Name 필드에 존재합니다. 사용자가 제어하는 HTML 입력이 적절한 정제나 출력 인코딩 없이 저장되어, 페이지가 렌더링될 때 임의의 JavaScript가 실행됩니다.

영향을 받는 구성 요소

Settings → Name

구성된 애플리케이션 이름이 데이터베이스에 저장됩니다.
이후 적절한 이스케이프 처리 없이 애플리케이션 인터페이스에 표시됩니다.
렌더링된 이름을 조회하는 모든 인증된 사용자(Admin, Staff 또는 Client)가 이 취약점에 노출됩니다.

개념 증명(PoC)

관리자로 애플리케이션에 로그인합니다.
Settings로 이동합니다.
시스템 Name 필드를 찾습니다.
다음의 무해한 XSS 테스트 페이로드를 삽입합니다:

설정을 저장합니다.
구성된 애플리케이션 이름이 표시되는 페이지(예: 대시보드, 헤더, 이메일)를 엽니다.

저장된 값이 렌더링될 때 JavaScript가 실행됩니다.

영향

페이로드가 애플리케이션에 저장되기 때문에, 이 문제는 설정을 처음 수정한 관리자뿐만 아니라 모든 사용자에게 영향을 미칩니다. 애플리케이션 이름이 렌더링되는 위치와 해당 페이지에 접근할 수 있는 사용자에 따라, 저장된 페이로드가 직원, 고객 또는 기타 인증된 사용자의 브라우저에서 실행될 수 있습니다.

잠재적 영향은 다음과 같습니다:

영향을 받는 사용자의 브라우저에서 임의의 JavaScript 실행
애플리케이션 UI 조작(예: 변조, 가짜 알림)
신뢰할 수 있는 애플리케이션 오리진 내에서의 피싱 또는 스푸핑
피해자의 인증된 애플리케이션 컨텍스트 내에서 작업 수행(세션 하이재킹, CSRF 우회)

영상 개념 증명

CVE-2026-26211의 영상 시연은 아래에서 확인할 수 있습니다:

이미지를 클릭하면 YouTube에서 PoC를 시청할 수 있습니다

직접 링크: https://youtu.be/b8gRD9jpvak?si=otEalAgZexiENIfh

공개 타임라인

날짜	사건
2026년 8월 1일	취약점이 VulnCheck에 제출됨
2026년 8월	VulnCheck가 제출을 검증하고 CVE 할당 자격이 있음을 확인함
2026년 8월	CVE-2026-26211 할당됨
2026년 8월 25일	VulnCheck의 요청에 따라 공개 기술 공개 게시됨

연구자

LINDAN TRI SAPUTRA
독립 보안 연구원
GitHub: https://github.com/LindHunt

참고 자료

CVE-2026-26211: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-26211
CWE-79: 웹 페이지 생성 중 입력의 부적절한 중화(XSS)
https://cwe.mitre.org/data/definitions/79.html

면책 조항

이 보고서는 교육 및 보안 인식 목적으로만 제공됩니다. 식별된 취약점은 공개 릴리스 전에 벤더 또는 관련 조정 기관(VulnCheck)에 책임 있게 공개되었습니다. 이 취약점의 무단 악용은 불법이며 비윤리적입니다.

개발자를 위한 권장 사항

이 취약점을 해결하려면:

사용자 제어 입력을 렌더링할 때 컨텍스트 인식 출력 인코딩을 적용하십시오.
모든 설정 필드에 대해 엄격한 입력 검증 및 정화를 구현하십시오.
XSS 위험을 완화하기 위해 Content Security Policy(CSP) 헤더를 사용하십시오.
리치 텍스트 입력을 필터링하기 위해 HTML Purifier 또는 유사한 라이브러리 사용을 고려하십시오.

안전을 유지하고, 경계를 늦추지 마십시오.

CVE-2026-26211

인기