theexploiters/cve-2024-39123-exploit# CVE-2024-39123용 익스플로잇: Calibre-web 0.6.21의 저장형 XSS
Calibre-web 0.6.21은 저장형 교차 사이트 스크립팅(XSS) 취약점에 영향을 받습니다. 이 결함으로 인해 공격자는 악성 스크립트를 서버에 주입하고 저장할 수 있습니다. 이 스크립트는 다른 사용자가 애플리케이션의 감염된 부분에 접근할 때 해당 사용자의 세션 컨텍스트에서 실행됩니다.
로그인: 유효한 사용자 계정으로 Calibre-web 애플리케이션에 인증합니다.
새 책 업로드: 업로드 섹션으로 이동하여 새 책을 업로드합니다.
책 목록 접근: /table?data=list&sort_param=stored 엔드포인트를 방문하여 책 목록을 확인합니다.
페이로드 주입: 업로드한 책의 Comments 필드에 다음 페이로드를 삽입합니다:
<a href=javas%1Bcript:alert()>Hello there!</a>
변경 사항 저장: 양식을 제출하여 변경 사항을 저장합니다.
페이로드 트리거: 업로드한 책의 책 세부 정보로 이동합니다. 설명을 클릭하여 저장된 스크립트를 트리거합니다. 주입된 스크립트가 성공적으로 실행되었음을 나타내는 경고 상자가 나타납니다.
이 취약점으로 인해 공격자는 다른 사용자의 컨텍스트에서 임의의 JavaScript를 실행할 수 있습니다. 이로 인해 다음과 같은 문제가 발생할 수 있습니다:
