CVE-2025-26054

CVE-2025-26054

작성자: Rohan Deshpande

저장형 크로스 사이트 스크립팅

요약

저장형 XSS(크로스 사이트 스크립팅)는 공격자가 악성 스크립트를 웹 애플리케이션에 주입하고, 이를 서버에 저장하여 사용자에게 제공하는 보안 취약점입니다. 사용자가 영향을 받는 콘텐츠에 접근하면 스크립트가 사용자의 브라우저에서 실행되어 데이터 탈취, 세션 하이재킹, 무단 작업을 초래할 수 있습니다. 이러한 유형의 공격은 사용자와 웹 애플리케이션의 무결성 모두에 심각한 영향을 미칠 수 있습니다.

심각도

높음

영향

저장형 XSS의 영향은 심각할 수 있습니다. 공격자가 손상된 페이지를 방문하는 사용자의 브라우저에서 악성 스크립트를 실행할 수 있기 때문입니다. 이로 인해 민감한 정보(예: 쿠키, 로그인 자격 증명)를 캡처하는 데이터 탈취, 세션 하이재킹, 사용자를 대신한 무단 작업이 발생할 수 있습니다.

영향을 받는 URL

http://<ip>:<port>/index

권장 사항

저장형 XSS 취약점을 완화하려면 적절한 입력 검증과 출력 인코딩을 구현하여 사용자가 제공한 데이터가 실행 가능한 코드가 아닌 데이터로 처리되도록 해야 합니다. XSS 보호를 자동으로 처리하는 보안 라이브러리와 프레임워크를 사용하고, Content Security Policy(CSP)를 적용하여 스크립트 실행을 제한하십시오. 잠재적인 약점을 식별하고 수정하기 위해 정기적인 보안 테스트와 코드 검토도 필수적입니다.

개념 증명

1. 콘솔에 로그인하고 Network → LAN으로 이동합니다.
2. 필요한 세부 정보를 입력하고 burp에서 요청을 캡처합니다.
3. 다음과 같은 간단한 페이로드를 주입합니다: "`'><script>\x0Bjavascript:alert(1)</script> description 매개변수에.
4. 요청을 전달하고 summary로 이동합니다. XSS가 트리거되는 것을 확인합니다.