ozozuz/qlik-view-12.60-including-sr-stored-cross-site-scripting-cve-2022-42248개념 증명 익스플로잇 for CVE-2022-42248, QlikView Ajax Client의 저장형 크로스 사이트 스크립팅 취약점으로, 원격 공격자가 조작된 HTTP POST 요청을 통해 임의의 웹 스크립트를 실행할 수 있습니다.
개정: 1.0
영향: QlikView Ajax Client의 저장형 크로스 사이트 스크립팅 취약점으로 인해 원격 공격자가 대화형 객체 생성 시 허용된 프로토콜 제한을 우회하여 피해자 브라우저에서 임의의 웹 스크립트 또는 HTML을 실행할 수 있습니다.
심각도:
CVSS 점수:
CVE-ID: CVE-2022-42248
공급업체: Qlik
영향을 받는 제품:
영향을 받는 버전: 12.60 및 이전 버전 (SR 빌드 포함)
QlikView는 대화형 대시보드와 분석 콘텐츠를 탐색하고 표시하는 데 사용되는 비즈니스 인텔리전스 및 데이터 시각화 플랫폼입니다.
QlikView Ajax Client에서 대화형 객체 생성 시 허용된 프로토콜에 적용되는 유효성 검사는 특수하게 조작된 HTTP POST 요청으로 우회될 수 있습니다. 이로 인해 공격자는 나중에 사용자에게 다시 렌더링되는 악성 웹 콘텐츠를 저장할 수 있습니다.
페이로드가 저장된 후 애플리케이션 흐름을 통해 제공되므로 브라우저는 신뢰할 수 있는 QlikView 출처의 컨텍스트에서 주입된 스크립트 또는 HTML을 실행합니다.
대화형 객체 생성 흐름에 페이로드를 주입하는 조작된 HTTP POST 요청을 보냅니다.
예시 페이로드:
<svg xmlns="http://www.w3.org/2000/svg" onload="alert(document.domain)"></svg>
영향을 받는 객체가 QlikView Ajax Client에서 렌더링될 때 악성 콘텐츠가 수락되어 나중에 실행됩니다.
QlikView Release Notes May 2022 SR2를 참조하고 12.70 SR2 이상으로 업그레이드하십시오.
이 취약점은 다음에 의해 발견 및 보고되었습니다:
Copyright (c) 2025 Giulio Garzia "Ozozuz"