몇 주 전, 저희 팀은 마젠토(Magento) 쇼핑몰을 운영하는 고객사를 대상으로 보안 취약점 점검을 진행했습니다. 웹사이트 감사 과정에서 저희 팀은 Affiliate Plus 모듈에서 심각한 취약점을 발견했습니다. Affiliate Plus 공식 웹사이트에 따르면 7,000개 이상의 스토어가 해당 확장 프로그램을 사용하고 있으며, 이번에 발견된 XSS 취약점으로 인해 다수의 마젠토 스토어가 공격에 노출될 위험에 처해 있습니다.
Affiliate Plus 마젠토 모듈 XSS 취약점 개요
- 마젠토 스토어에 제휴사(Affiliate) 계정으로 로그인한 후 'My Program Section' 메뉴로 이동합니다.
- 'Program Name' 항목에 아래 자바스크립트 코드를 입력합니다:
<script>alert(/XSS_Vulnerability/)</script>
- 'search' 버튼을 클릭합니다.
- 자바스크립트 코드가 실행되었음을 알리는 팝업창이 나타납니다.
- 더 심각한 점은, 애플리케이션이 SQL 쿼리까지 그대로 출력하여 SQL 오류 메시지와 데이터베이스 구조까지 외부에 노출된다는 것입니다.
취약점 파급 효과
XSS는 가장 널리 발견되고 악용되는 취약점 중 하나로, 방치할 경우 심각한 결과를 초래할 수 있습니다. 반사형(Reflected) XSS의 경우 특정 고객을 대상으로 한 공격이 많지만, 관리자 정보 탈취를 목표로 한 공격으로도 확대될 수 있습니다. 주요 피해 유형은 다음과 같습니다:
- 최종 사용자의 데이터 및 계정 정보 유출
- 표적 공격을 통한 관리자 계정 정보 탈취
- 웹 애플리케이션의 내부 디렉터리 구조 노출
대응 경위
Affiliate Plus 개발팀은 문제를 매우 신속하게 인지하고 즉시 수정 작업에 착수했습니다. 해당 팀은 필요한 보안 패치를 선제적으로 배포했으며, 패치가 적용된 업데이트 버전의 모듈을 빠르게 출시했습니다. 이러한 신속하고 적극적인 대응에 박수를 보냅니다!