CVE-2022-43332

WonderCMS의 교차 사이트 스크립팅

설명: Wondercms v3.3.4의 교차 사이트 스크립팅(XSS) 취약점으로, 잠재적 공격자가 구성 패널(Configuration Panel)의 사이트 제목(Site title) 필드에 삽입된 조작된 페이로드를 통해 임의의 웹 스크립트나 HTML을 실행할 수 있습니다. 여기에 더해 쿠키에 HttpOnly 플래그가 없어 로그인한 사용자의 쿠키를 탈취하는 데 악용될 수 있습니다.

재현 방법: 재현하려면 wondercms.com에서 제공되는 zip 파일(3.3.4)을 다운로드하여 웹 서버에 압축 해제한 후, 홈페이지에 제공된 비밀번호로 로그인하고 설정 메뉴에서 제목(title)을 변경하면 됩니다. 취약점은 다음 페이로드로 트리거할 수 있습니다: