Magnolia CMS <= 6.2.19 저장형 크로스 사이트 스크립팅 (CVE-2022-33098)

목차

1. 개요
2. 상세 설명
3. 개념 증명
4. 해결 방법
5. 공개 타임라인
6. 참고 자료
7. 크레딧
8. 법적 고지

개요

버전: 1.0

영향: Magnolia CMS 6.2.19의 저장형 크로스 사이트 스크립팅으로 인해 원격 공격자가 연락처 편집 워크플로우 또는 관련 에셋 처리 기능을 통해 조작된 SVG 페이로드를 업로드하여 피해자 브라우저에서 임의의 웹 스크립트 또는 HTML을 실행할 수 있습니다.

심각도:

• NVD: 중간

CVSS 점수:

• NVD: 6.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)

CVE-ID: CVE-2022-33098

공급업체: Magnolia

영향을 받는 제품:

• Magnolia CMS

영향을 받는 버전: 6.2.19 및 이전 버전

제품 설명

Magnolia CMS는 웹 및 관련 채널에서 디지털 경험을 구축하고 관리하는 데 사용되는 콘텐츠 관리 플랫폼입니다.

---

상세 설명

Magnolia CMS v6.2.19에는 연락처 편집 및 업로드 흐름에 저장형 크로스 사이트 스크립팅 문제가 존재합니다. 조작된 SVG 파일을 에셋이나 연락처 프로필 사진으로 업로드할 수 있으며, 페이로드가 애플리케이션에 렌더링될 때 삽입된 JavaScript가 실행됩니다.

이 문제는 페이로드가 서버 측에 저장된 후 신뢰할 수 있는 애플리케이션 경로를 통해 제공되어 결과적인 스크립트 실행이 대상 애플리케이션 자체에서 발생한 것처럼 보이기 때문에 특히 중요합니다.

---

개념 증명

요청