sahiloj/cve-2025-5352lunary-ai/lunary의 Analytics 컴포넌트에서 저장형 XSS 취약점을 시연하며, 삭제되지 않은 NEXT_PUBLIC_CUSTOM_SCRIPT 주입으로 인해 사용자 브라우저에서 임의의 JavaScript가 실행됩니다.
CVE-2025-5352
lunary-ai/lunary의 Analytics 구성 요소에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 확인되었습니다. 이 문제는 NEXT_PUBLIC_CUSTOM_SCRIPT 변수가 적절한 삭제(sanitization) 또는 검증 없이 dangerouslySetInnerHTML을 사용하여 DOM에 직접 주입되기 때문에 발생합니다.
공격자가 배포 과정 중이거나 서버 침해를 통해 이 변수를 제어할 수 있다면, 임의의 JavaScript 코드를 주입할 수 있습니다. 이 악성 스크립트는 영향을 받는 애플리케이션에 접근하는 모든 사용자의 브라우저에서 실행되어, 세션 하이재킹, 자격 증명 탈취 또는 기타 클라이언트 측 공격으로 이어질 수 있습니다.
