'csv-plus' HTML Injection 취약점 #CVE-2022-21241

Target : csv-plus ≤ 0.8.0

https://github.com/plusone-masaki/csv-plus

GitHub - plusone-masaki/csv-plus: A completely new CSV editor that gives you a great experience with simple operations.

 

Description

첫 행의 내용을 제목으로 이동시키는 기능 중 HTML 태그가 사용 가능해 HTML Injection 발생

 

 

PoC

csv+ 안의 해당 기능을 이용하면 첫 행을 행의 제목으로 지정할 수 있다.

첫 행에 html 태그를 입려갛고 해당 아이콘을 클릭하면 html 태그가 적용된다.

<a href="악성페이지.html">Click Me</a>

첫 행에 a태그를 넣고 아이콘을 클릭하면 첫 행 이름이 Click Me로 바뀌고, 클릭시 악성페이지.html로 이동하게 된다.

 

관련 링크

https://github.com/satoki/csv-plus_vulnerability

GitHub - satoki/csv-plus_vulnerability: 👻 [PoC] CSV+ 0.8.0 - Arbitrary Code Execution (CVE-2022-21241)