CVE-2025-63307 – laravel-file-manager v3.3.1의 인증된 저장형 크로스 사이트 스크립팅 (XSS) 취약점

🧭 개요

laravel-file-manager v3.3.1 및 이하 버전에서 발견된 인증된 저장형 크로스 사이트 스크립팅 (XSS) 취약점으로, 파일 관리자 인터페이스에 접근 가능한 공격자가 업로드 또는 생성된 파일에 임의의 JavaScript 코드를 주입하고 유지할 수 있습니다. 악성 JavaScript가 포함된 특수하게 조작된 .html 또는 .svg 파일을 업로드하거나, 파일 관리자 내에서 직접 해당 파일을 생성 및 편집함으로써 공격자는 저장형 XSS를 달성할 수 있으며, 이는 다른 인증된 사용자나 관리자가 웹 인터페이스를 통해 해당 파일을 볼 때 실행됩니다.

🧱 영향을 받는 구성 요소

• 프로젝트: laravel-file-manager
• 구성 요소: 파일 업로드, 생성 및 렌더링 기능 (예: FileManagerController.php)
• 영향을 받는 버전: v3.3.1 이하

🎯 공격 벡터

1. 파일 관리자 인터페이스를 통해 파일을 업로드, 생성 또는 이름 변경할 수 있는 권한이 있는 계정으로 인증합니다.
2. 악성 JavaScript가 포함된 .svg 또는 .html 확장자를 가진 파일을 업로드하거나 생성합니다.
3. 애플리케이션은 파일의 콘텐츠를 검증하거나 포함된 스크립트를 살균(sanitize)하지 않고 저장합니다.
4. 다른 사용자(예: 관리자 또는 저장소 유지 관리자)가 브라우저에서 파일을 보거나 미리 볼 때, 악성 JavaScript가 애플리케이션 도메인의 컨텍스트에서 실행됩니다.
5. 그런 다음 스크립트는 세션 하이재킹, CSRF 또는 피해자 브라우저에서 민감한 데이터 탈취와 같은 작업을 수행할 수 있습니다.

💥 영향