CVE-2023-34845

CVE-2023-34845 취약점 PoC

취약점

새 콘텐츠 생성 페이지 http://localhost:800/admin/new-content 에서 크로스 사이트 스크립팅 공격을 발견했습니다. 이 스크립트는 사용자 컨텍스트에서 실행되어 공격자가 브라우저에 보관된 모든 쿠키나 세션 토큰에 접근할 수 있게 합니다. 저장형 XSS(Stored XSS)는 비지속형 XSS보다 더 파괴적입니다. 취약한 웹 애플리케이션에 악성 스크립트가 직접 주입될 때 발생합니다.

문제 재현 단계

• 계정에 로그인합니다

• 그 이미지처럼 새 콘텐츠를 클릭합니다

• 이미지 버튼을 클릭합니다

• XSS 페이로드 또는 SSRF 페이로드가 주입된 SVG 파일을 선택합니다

• 페이지를 삽입하고 저장합니다
• 이미지 링크를 복사하여 새 탭에서 엽니다