Skip to content
KitploitKITPLOIT
도구블로그
제출
도구블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
CVE-2025-69606-GSVoIP-XSS — # GSVoIP 웹 패널 v2.0.90 반사형 XSS 취약점(CVE-2025-69606) 개념 증명 GSVoIP 웹 패널 v2.0.90의 반사형 XSS 취약점(CVE-2025-69606)에 대한 개념 증명으로, `msg` 매개변수를 통한 인증되지 않은 임의 JavaScript 실행을 시연합니다. | Kitploit
도구/GitHubGitHub/razielx64/cve-2025-69606-gsvoip-xss
Vulnerability AnalysisWeb Application ExploitationPhishingWeb SecuritySocial EngineeringLearning & Education
GitHubrazielx64/cve-2025-69606-gsvoip-xss

CVE-2025-69606-GSVoIP-XSS

# GSVoIP 웹 패널 v2.0.90 반사형 XSS 취약점(CVE-2025-69606) 개념 증명 GSVoIP 웹 패널 v2.0.90의 반사형 XSS 취약점(CVE-2025-69606)에 대한 개념 증명으로, `msg` 매개변수를 통한 인증되지 않은 임의 JavaScript 실행을 시연합니다.

저장소 보기
54개월 전아직 검토되지 않음

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유

CVE-2025-69606 — GSVoIP 웹 패널의 반사형 XSS

심각도: 중간  |  CWE: CWE-79  |  인증 필요: 아니요  |  벡터: 원격

요약

**GSVoIP 웹 패널(v2.0.90)**에서 반사형 XSS(Reflected Cross‑Site Scripting) 취약점이 발견되었습니다. 오류 엔드포인트의 msg 매개변수는 사용자 제어 입력을 HTML 응답에 반영하기 전에 정화(sanitize)하지 않아, 피해자 브라우저에서 임의의 JavaScript가 실행될 수 있습니다.

영향을 받는 제품

필드세부 사항
제품GSVoIP Web Panel
버전2.0.90 (이전 버전도 가능)
공급업체Solutions VoIP (GS Solutions)
CWECWE-79 — 교차 사이트 스크립팅
공격 경로원격 / 네트워크
인증필요하지 않음

취약한 엔드포인트

root@kitploit:~
GET /painel/gateways.php/error?msg=<payload>

msg 매개변수가 HTML 응답에 그대로 반영되며, 삭제(정화)나 출력 인코딩이 적용되지 않습니다.

개념 증명

페이로드

root@kitploit:~
https://{TARGET}/painel/gateways.php/error?msg=%3Cscript%3Ealert(1)%3C%2Fscript%3E

디코딩됨:

root@kitploit:~
<script>alert(1)</script>

결과

조작된 URL에 접근하면, 삽입된 페이로드가 피해자의 브라우저에서 실행됩니다:

root@kitploit:~
alert(1)

공격 시나리오

  1. 공격자는 msg 매개변수에 XSS 페이로드가 포함된 악성 URL을 만듭니다.
  2. 피해자는 피싱, 사회공학적 방법 등을 통해 링크를 클릭하도록 유도됩니다.
  3. 페이지가 로드되고 삽입된 JavaScript가 피해자의 브라우저 컨텍스트에서 실행됩니다 — 인증이 필요하지 않습니다.

영향

  • 피해자 브라우저에서의 임의 JavaScript 실행
  • 쿠키 도용을 통한 세션 가로채기
  • 피싱 및 사회공학적 공격
  • 민감한 데이터 유출
  • 애플리케이션 컨텍스트 내 콘텐츠 변조

권장 사항

  • 출력 인코딩: 모든 사용자 입력을 HTML 응답에 렌더링하기 전에 인코딩하십시오 (최소한 HTML 엔티티 인코딩).
  • 보안 템플릿: 자동 이스케이프가 활성화된 템플릿 엔진을 사용하십시오.
  • 콘텐츠 보안 정책(CSP): 제한적인 script-src 지시문이 포함된 엄격한 CSP를 구현하십시오.
  • 입력 검증: 입력 계층에서 HTML 태그나 스크립트 시퀀스가 포함된 매개변수를 거부하거나 제거하십시오.

공개 타임라인

단계이벤트
1취약점 발견 및 Luiz Eduardo에 의해 보고됨
2CVE 할당: CVE-2025-69606
3공개 공개

크레딧

Luiz Eduardo에 의해 발견 및 보고됨

CVE-2025-69606 · CWE-79 · GSVoIP Web Panel v2.0.90

도구 다운로드