CVE-2025-51859

취약점 설명

Chaindesk는 AI 에이전트를 구축하기 위한 웹 애플리케이션으로, 에이전트 채팅 구성 요소에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 시스템 프롬프트가 기본 대규모 언어 모델(LLM)에 악성 스크립트 페이로드(예: SVG 기반 XSS)를 채팅 응답에 포함하도록 지시하는 AI 에이전트를 제작하여 임의의 클라이언트 측 스크립트 실행을 달성할 수 있습니다. 사용자가 이러한 악성 에이전트와 상호작용하거나 XSS 페이로드가 포함된 대화의 직접 링크에 접근하면 사용자 브라우저에서 스크립트가 실행됩니다. 성공적인 악용 시 JWT 세션 토큰과 같은 민감한 정보가 탈취되어 계정 하이재킹으로 이어질 수 있습니다. 대화 URL 구조(https://app.chaindesk.ai/agents/<agentID>?tab=chat&conversationId=<conversationID>)의 안전하지 않은 직접 객체 참조(IDOR) 취약점은 이러한 악성 대화 링크의 배포를 용이하게 하며 다른 채팅 세션에 대한 무단 접근 위험을 초래할 수 있습니다.

공격 벡터

Chaindesk는 AI 에이전트 채팅 기능 내에서 저장형 크로스 사이트 스크립팅(XSS) 취약점에 취약합니다. 이 취약점은 https://app.chaindesk.ai/agents/<agentID>?tab=chat&conversationId=<conversationID>와 같은 URL을 통해 접근되는 사용자 상호작용 및 대화 표시에 영향을 미칩니다.

이 XSS를 악용하는 주요 방법은 공격자가 조작된 시스템 프롬프트를 사용하여 AI 에이전트를 생성하는 것입니다. 이 악의적인 프롬프트는 통합된 대규모 언어 모델(LLM)이 내장된 SVG XSS 페이로드를 포함한 응답을 생성하도록 지시합니다. 결과적으로 피해자가 이 손상된 에이전트와 채팅을 하면 피해자의 브라우저가 페이로드를 렌더링하여 클라이언트 측 스크립트 실행이 발생합니다. 이 기술은 에이전트 구성을 사용하여 XSS 페이로드를 저장하고 전달하는 효과적인 방법입니다. 피해자 세션에서 임의의 JavaScript 코드가 실행되면 공격자는 중요한 데이터, 특히 JWT 토큰을 탈취하여 계정 하이재킹에 사용할 수 있습니다. 그림 1은 사용자가 악성 에이전트와 통신한 후 UI 렌더링을 보여줍니다. 사용자의 세션과 토큰이 유출됩니다.

또한, 이 애플리케이션은 대화 URL 처리 방식과 관련하여 안전하지 않은 직접 객체 참조(IDOR) 취약점(불완전한 접근 제어로도 분류 가능)을 보여줍니다. 엔드포인트 는 주로 및 매개변수를 사용하여 채팅 내용을 표시하며, 접근 제어 검사가 불충분한 것으로 보입니다. 이 IDOR 취약점을 통해 공격자는: a) 자신이 제어하는 대화를 가리키는 직접 URL을 제작 및 배포할 수 있으며, 이 대화에는 XSS 페이로드(위에서 설명한 LLM 방법을 통해 전달되거나 잠재적으로 다른 방식으로 내장됨)가 포함됩니다. 피해자가 이러한 URL에 접근하면 XSS 페이로드가 실행됩니다. b) 유효한 와 조합을 식별할 수 있다면 다른 사용자의 대화에 접근할 수 있습니다. 그러나 초기 보고서에 따르면 값은 기존의 관련 없는 대화에 대한 광범위한 무단 접근을 위해 쉽게 추측할 수 없을 수 있습니다. 그럼에도 불구하고, 표적 피해자에게 XSS 페이로드를 전달하는 데 있어 IDOR의 유용성은 여전히 심각한 문제입니다. 그림 2는 IDOR 취약점의 PoC를 보여줍니다.