CVE-2025-52097 – InstantForum.NET v4.1.4의 반사형 XSS

이 저장소는 InstantForum.NET v4.1.4에서 확인된 반사형 크로스사이트 스크립팅(XSS) 취약점인 CVE-2025-52097에 대한 공개 권고, 개념 증명(PoC), 및 관련 자료를 포함합니다.

요약

제품: InstantForum.NET v4.1.4
공급업체: InstantASP Ltd. (더 이상 운영되지 않음)
취약점 유형: 반사형 크로스사이트 스크립팅 (XSS)

설명:
hbhxg 쿼리 문자열 매개변수의 비소독 입력값이 출력 인코딩 없이 HTML 응답에 직접 반사되어, 공격자가 인증 없이 피해자의 브라우저에서 임의의 JavaScript를 실행할 수 있습니다.

권고(Advisory)

악용 세부 정보와 완화 권장 사항을 포함한 전체 기술 권고는 ADVISORY.md에서 확인할 수 있습니다.

개념 증명(PoC)

개념 증명 스크린샷이 이 저장소에 포함되어 있습니다:

• poc_proof.png – 페이로드 실행
• poc_proof_2.png – 반사 및 버전 확인

공개 정보

• 발견자: Ryan Wilson, ECS MSP ARC Red Team
• CVE ID: CVE-2025-52097
• 권고 게시일: 2025년 7월 11일

라이선스

본 권고는 교육 및 방어적 보안 목적으로만 제공됩니다.

---

이 공개 내용에 대한 문의 사항은 [email protected]으로 연락해 주십시오.