CVE-2025-60880: Bagisto 관리자 패널의 저장형 크로스 사이트 스크립팅(XSS) 취약점

Bagisto 2.3.6 관리자 패널의 제품 생성 경로에 인증된 저장형 XSS 취약점이 존재하며, 공격자는 악성 JavaScript 코드가 포함된 조작된 SVG 파일을 업로드할 수 있습니다. 이 취약점은 인증된 관리자 사용자가 브라우저에서 임의의 JavaScript를 실행하는 데 악용될 수 있으며, 세션 하이재킹, 데이터 탈취 또는 무단 작업으로 이어질 수 있습니다.

취약점 개요

• CVE ID: CVE-2025-60880
• 유형: 크로스 사이트 스크립팅 (XSS)
• CVSS 점수: 6.9 (중간)
• CVSS 벡터: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:N
• 영향을 받는 공급업체: Bagisto
• 영향을 받는 제품: Bagisto
• 영향을 받는 버전: v2.3.6
• 영향을 받는 구성 요소: Bagisto 관리자 패널 (제품 생성 경로)
• 공격 경로: 원격
• 인증: 관리자 권한 필요
• 영향: 코드 실행, 세션 하이재킹, 데이터 탈취

개념 증명 (PoC)

이 취약점은 인증된 관리자가 악성 JavaScript가 포함된 조작된 SVG 파일을 업로드할 때 악용됩니다.

재현 단계:

1. 인증된 관리자로 Bagisto 관리자 패널에 로그인합니다.
2. 제품 생성 경로로 이동합니다.
3. JavaScript 페이로드가 포함된 조작된 SVG 파일을 업로드합니다.
4. Content-Type 헤더를 수정한 후 요청을 재전송합니다.
5. 악성 SVG 파일이 서버에 저장됩니다.
6. 파일의 URL에 접근하면 사용자의 브라우저에서 JavaScript가 실행됩니다.

악성 SVG 페이로드 예시:

<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">

<svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg">
   <polygon id="triangle" points="0,0 0,50 50,0" fill="#009900" stroke="#004400"/>
   <script type="text/javascript">
      alert(document.domain);
   </script>
</svg>