CVE-2026-29971

공격자가 피해자 브라우저에서 임의의 JavaScript를 실행할 수 있으며, 이로 인해 세션 하이재킹 또는 권한 상승이 발생할 수 있습니다.

CVE-2026-29971

취약점

반사형 크로스 사이트 스크립팅 (XSS)

영향을 받는 제품

WebFileSys

영향을 받는 버전

2.31.1

설명

WebFileSys 버전 2.31.1에 반사형 크로스 사이트 스크립팅 취약점이 존재합니다. 사용자가 제어하는 입력이 적절한 출력 인코딩 없이 HTML 및 JavaScript 컨텍스트로 반사되어, 공격자가 피해자 브라우저에서 임의의 JavaScript를 실행할 수 있습니다.

영향

공격자는 피해자가 조작된 요청이나 링크와 상호작용하도록 유도하여 이 문제를 악용할 수 있습니다. 성공적인 악용은 다음으로 이어질 수 있습니다:

• 세션 하이재킹
• 자격 증명 탈취
• 인증된 세션 내에서의 무단 작업

영향을 받는 구성 요소

• ftpBackup 기능
• 인증 입력 처리
• 검색 기능
• 오류 메시지 렌더링

재현 단계

1. WebFileSys 로그인 페이지로 이동합니다.
2. 영향을 받는 매개변수에 다음 페이로드를 주입합니다.

작동한 예시 페이로드: <IMG SRC="javascript:alert('XSS')", %3CScRiPt%3Ealert(1)%3C%2FsCriPt%3E, <%

3. 요청을 제출합니다.
4. 페이로드가 반사되어 브라우저에서 실행됩니다.

CVE

CVE-2026-29971

발견자

Tharun Teja Chidurala

참고 자료

https://www.cve.org/CVERecord?id=CVE-2026-29971