CVE-2026-54477: 관리자 패널 보안 헤더 누락(클릭재킹 / XSS)

권고

제품

요약

관리자 패널은 HSTS 외에는 어떠한 보안 헤더도 없이 제공됩니다. Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Permissions-Policy가 모두 없어, 인증된 관리자 세션을 대상으로 클릭재킹과 교차 사이트 스크립팅(XSS)이 가능합니다.

취약점 세부 사항

존재하는 헤더

누락된 헤더

클릭재킹 시나리오

X-Frame-Options / CSP frame-ancestors가 없으므로, 인증된 관리자 세션 위에 배치된 보이지 않는 오버레이 iframe을 통해 클릭만으로 PiReboot, DeleteUser, SwitchBannedDevice 같은 권한 있는 작업이 트리거될 수 있습니다.

XSS 증폭

Gr0m-028에서 식별된 클라이언트 측 주입 싱크(22개의 dangerouslySetInnerHTML 인스턴스, 35개의 innerHTML 할당)와 결합하면, CSP가 없기 때문에 성공적인 페이로드가 제한 없이 실행되어 데이터 유출과 세션 전파 동작이 가능해집니다.

조정 발견 사항 매핑

해결 방안

ICSA-26-183-03에 따라 Gardyn은 나열된 취약점을 해결하기 위해 IoT Hub 배포 인프라가 업데이트되었다고 밝혔습니다. 권장 제어 세트(Netlify _headers / netlify.toml):

[[headers]]
  for = "/*"
  [headers.values]
    Content-Security-Policy = "default-src 'self'; script-src 'self'; frame-ancestors 'none';"
    X-Frame-Options = "DENY"
    X-Content-Type-Options = "nosniff"
    Referrer-Policy = "strict-origin-when-cross-origin"
    Permissions-Policy = "camera=(), microphone=(), geolocation=()"

연구자: Michael Groberman (Gr0m) · 사건: CERT/CC VU#653116 · 권고: ICSA-26-183-03