Wins blog

글로벌 정보보안 파트너! Global Security  No.1 윈스는 국가대표 정보보안 기업에서 글로벌 강소기업으로 도약합니다.

보안 정보

앞 내용 보기 다음 내용 보기
취약점 정보[CVE-2020-26043] Hoosk CMS index.php XSS
작성일 2020-11-20 조회 38

 

Hoosk CMS 1.8.0 버전에 XSS 취약점이 존재합니다.


Hoosk는 Codelgniter에 내장된 사용자 중심의 콘텐츠 관리 시스템(CMS)로, 반응형 웹 사이트를 제작하는데에 사용됩니다.


해당 취약점은 install/index.php내의 매개변수의 유효성 검증이 불충분하여 발생합니다.


원격의 공격자가 공격 성공 시, 임의의 스크립트가 실행될 수 있습니다.

 

 

 

취약점 설명

 

NVD - CVE-2020-26043

CVSS v2.0 Severity and Metrics:

Base Score: 4.3 MEDIUM

 

 

[그림1. NVD 내역]

 

 

 

 

취약점 분석

 

CVE-2020-26043은 install/index.php내의 siteName, siteURL 두 매개변수 값의 검증이 불충분하여 발생합니다.


취약한 버전은 Hoosk CMS 1.8 버전으로, 아직 패치 버전은 출시되지 않았습니다.

 

 

[그림2. Hoosk Wiki]

 

 

사용자들은 Hoosk CMS 설치 안내문을 통해 취약점에 대비할 수 있습니다.

 

 

 

 

공격 분석

 

CVE-2020-26043의 공격 패킷은 다음과 같습니다.

 

[그림3. siteName XSS 공격 패킷]

 

[그림4. siteURL XSS 공격 패킷]

 

 

 

 

취약점 대응 방안

 

1. 최신 버전 사용

 

해당 벤더사에서 발표한 보안 권고문을 참고하여 패치를 적용합니다.

https://wordpress.org/plugins/wp-file-manager/#developers

 

 

2. WINS Sniper 제품군 대응 방안

 

Hoosk CMS index.php XSS

Hoosk CMS index.php XSS.A

 

첨부파일 첨부파일이 없습니다.
태그 Hoosk CMS  CVE-2020-26043