CVE-2025-63406 – 보안 연구 개념 증명(PoC)

이 저장소는 GroupOffice 플랫폼에 영향을 미치는 보안 문제 CVE-2025-63406과 관련된 **연구 지향적 개념 증명(PoC)**을 포함하고 있습니다.
이 프로젝트의 목적은 취약점의 동작을 연구 및 이해하고, 보안 팀의 위험 평가를 지원하며, 통제된 환경에서 패치 및 완화 조치를 검증하는 데 도움을 주는 것입니다.

⚠️ 중요 공지
이 PoC는 허가된 보안 연구, 감사 및 교육 분석용으로만 제공됩니다.
명시적 허가 없이 시스템에 사용해서는 안 됩니다.

---

🔍 취약점 정보

CVE-2025-63406은 GroupOffice 객체(특히 FieldSet, Field 및 Task 엔터티)의 내부 처리로 인해 특정 상황에서 의도하지 않은 동작이 발생할 수 있는 조건을 설명합니다.

이 프로젝트의 목표는 다음과 같습니다:

• 취약점이 어떻게 나타날 수 있는지 분석합니다.
• create/update/destroy 작업을 포함하는 논리적 체인의 동작 방식을 탐구합니다.
• API 흐름 및 내부 상태 전환을 시연합니다.
• 연구자들이 안전하고 격리된 환경에서 문제를 재현하고 검증할 수 있도록 돕습니다.

제공된 소스 코드는 로직 흐름에 초점을 맞추고 있으며, 악용을 가능하게 하는 데 있지 않습니다.

---

🧩 코드 개요

PoC 스크립트는 다음을 보여줍니다:

• URL 정규화 및 입력 정화.
• GroupOffice API를 사용한 인증 흐름.
• 세션 쿠키 및 CSRF 토큰 검색 및 관리.
• FieldSet 및 Field 객체 생성 및 제거.
• JMAP API (/api/jmap.php)와의 상호작용.
• 서버 측 상태 응답 추출 및 검사.
• 이전에 생성된 연구 아티팩트 식별 및 정리.

이 구조는 실제 악용보다는 내부 동작의 분석 및 이해를 위한 것입니다.