Skip to content
KitploitKITPLOIT
도구블로그
제출
도구블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
CVE-2026-36392 — RISE CRM 항목 제목 필드의 저장형 XSS에 대한 개념 증명(CVE-2026-36392)으로, 세션 하이재킹 및 계정 탈취를 시연하고 수정 지침을 제공합니다. | Kitploit
도구/GitHubGitHub/moksh-nfsu/cve-2026-36392
Vulnerability AnalysisExploitationWeb Application ExploitationWeb SecurityPenetration Testing
GitHubmoksh-nfsu/cve-2026-36392

CVE-2026-36392

RISE CRM 항목 제목 필드의 저장형 XSS에 대한 개념 증명(CVE-2026-36392)으로, 세션 하이재킹 및 계정 탈취를 시연하고 수정 지침을 제공합니다.

저장소 보기
12시간 27분 전아직 검토되지 않음

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유

CVE-2026-36392: RISE CRM 항목 제목 필드의 저장형 XSS

요약

RISE CRM(RISE - Ultimate Project Manager & CRM) 버전 <= 3.9.6의 항목 제목 필드에 저장형 교차 사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 관리자가 항목 제목에 임의의 JavaScript를 주입할 수 있으며, 이는 서버 측에 저장되어 스토어 페이지를 방문하는 모든 클라이언트 사용자의 브라우저에서 실행되어 세션 하이재킹, 계정 탈취 및 피싱을 가능하게 합니다.

세부 정보

필드값
CVE IDCVE-2026-36392
제품RISE - Ultimate Project Manager & CRM
공급업체Fairsketch
영향을 받는 버전<= 3.9.6
수정 버전4.0
취약점 유형저장형 교차 사이트 스크립팅
CWECWE-79
CVSS 3.16.4 Medium (/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N)
발견자Moksh Jain

취약한 구성 요소

  • 모듈: 항목(Items)
  • 주입 엔드포인트: /index.php/items (항목 편집 → 제목 필드)
  • 트리거 엔드포인트: /index.php/store
  • 파라미터: 항목 제목
  • 주입자 역할: 관리자(인증됨)
  • 피해자 역할: 클라이언트(인증됨)

개념 증명

  1. 관리자로 로그인합니다.
  2. /index.php/items로 이동하여 항목을 편집합니다.
  3. 제목 필드를 다음으로 설정합니다:
root@kitploit:~
  1. 항목을 저장합니다.
  2. 별도의 세션에서 클라이언트 사용자로 로그인합니다.
  3. /index.php/store로 이동합니다.
  4. 페이로드가 클라이언트의 브라우저에서 실행되어 세션 쿠키가 노출됩니다.

영향

  • 쿠키 유출을 통한 세션 하이재킹
  • 클라이언트 계정 탈취
  • 클라이언트 사용자를 대상으로 한 피싱 및 리디렉션 공격
  • 피해자의 인증된 컨텍스트에서 수행되는 무단 작업
  • 스토어에서 항목을 보는 모든 클라이언트 사용자에게 영향을 미치므로, 고객 대면 뷰에서 영향력이 큰 저장형 XSS에 해당합니다

해결 방법

RISE CRM 4.0 이상으로 업그레이드하세요. 공급업체는 영향을 받는 필드에 입력 검증을 추가했습니다. 공급업체 변경 로그 참조: "일부 입력에 XSS 검증이 추가되었습니다."

타임라인

  • 2026-02-24: CodeCanyon 지원을 통해 공급업체에 보고
  • 2026-02-25: 공급업체가 확인
  • 2026-07-23: 버전 4.0에서 수정
  • 2026-05-05: MITRE가 CVE-2026-36392 지정
  • 2026-09-07: 공개 공개

참고 자료

  • 공급업체 제품 페이지: https://codecanyon.net/item/rise-ultimate-project-manager/15455641
  • CVE 기록: https://www.cve.org/CVERecord?id=CVE-2026-36392

크레딧

Moksh Jain - Linkedin

도구 다운로드