영향을 받는 제품

• org.xwiki.contrib.blog:application-blog-ui (버전: < 9.15.7)

CWE 분류

• CWE-79: 웹 페이지 생성 중 입력값의 부적절한 중화('교차 사이트 스크립팅')

세부 정보

영향

블로그 애플리케이션은 블로그 게시물 제목을 통한 저장형 교차 사이트 스크립팅(XSS) 취약점에 노출되어 있습니다. 이 취약점은 게시물 제목이 적절한 이스케이프 처리 없이 HTML 태그에 직접 삽입되기 때문에 발생합니다.

블로그 게시물을 생성하거나 편집할 수 있는 권한이 있는 공격자는 제목 필드에 악성 JavaScript를 주입할 수 있습니다. 이 스크립트는 블로그 게시물을 보는 모든 사용자(관리자 포함)의 브라우저에서 실행됩니다. 이로 인해 세션 하이재킹 또는 권한 상승이 발생할 수 있습니다.

재현 방법:

• 블로그 게시물을 생성할 권한이 있는 사용자로 로그인합니다.
• 새 블로그 게시물을 생성합니다.
• 제목 필드에 title 태그를 벗어나도록 설계된 다음 페이로드를 삽입합니다: </title><script>alert('XSS in title blog')</script>
• 게시물을 저장(게시)합니다.
• 블로그 홈페이지에서 게시물을 확인합니다.

패치

이 취약점은 누락된 이스케이프 처리를 추가하여 블로그 애플리케이션 버전 9.15.7에서 패치되었습니다.

우회 방법

현재 알려진 우회 방법은 없습니다.

참고 자료

• https://jira.xwiki.org/browse/BLOG-245
• https://github.com/xwiki-contrib/application-blog/commit/cca87f0a0edc2e7e049d46d51f4a4d8f78b714ba

기여

Łukasz Rybak이 이 취약점을 보고했습니다.

참고 자료

• https://github.com/xwiki-contrib/application-blog/security/advisories/GHSA-h2xq-h7f9-vh6c
• https://github.com/xwiki-contrib/application-blog/commit/cca87f0a0edc2e7e049d46d51f4a4d8f78b714ba
• https://jira.xwiki.org/browse/BLOG-245
• https://nvd.nist.gov/vuln/detail/CVE-2025-66024
• https://github.com/advisories/GHSA-h2xq-h7f9-vh6c

고지 사항

이 CVE는 조정된 취약점 공개 절차에 따라 책임 있게 공개되었습니다. 여기에 제공된 정보는 교육 및 방어 목적으로만 사용됩니다.