CVE 데이터베이스CVE-2026-120190

최종 갱신 2026-11-06English Advisory →

CVE-2026-1201903.5/LOWCWE-79CWE-94

PostyBirb Plus 크로스 사이트 스크립팅(XSS) 취약점 (CVE-2026-120190) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

postybirb

대상 컴포넌트 / 패키지

postybirb-plus

권고문 발행일

2026-11-01

CVSS v3.1

3.5

LOW

30일 악용확률

0.4%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

PostyBirb Plus 3.1.75 이하 버전

파급 효과

공격자가 제출물 설명 편집기(Submission Description Editor)를 통해 악성 스크립트를 삽입하여 사용자의 브라우저 컨텍스트에서 임의의 코드를 실행할 수 있습니다

권장 조치

공식 패치가 적용된 최신 버전인 3.1.76 이상으로 즉시 업그레이드를 수행하십시오

영향받는 제품 및 버전 범위

PostyBirb Plus 3.1.75 및 이하 모든 버전 (DescriptionInput.tsx 컴포넌트 영향)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

제조사에서 제공하는 공식 패치 버전인 3.1.76 이상으로 업그레이드를 진행하십시오. 프로젝트 루트 디렉토리에서 아래 명령어를 실행하여 의존성을 업데이트합니다.

bash

# npm을 사용하는 경우
npm install postybirb-plus@3.1.76 --save

# yarn을 사용하는 경우
yarn upgrade postybirb-plus@3.1.76

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 리버스 프록시(Nginx 등) 또는 WAF(웹 애플리케이션 방화벽) 단에서 입력값 필터링 규칙을 적용하여 위험을 완화할 수 있습니다.

nginx

# Nginx 설정 예시: 요청 본문(Request Body) 내 잠재적 스크립트 태그 차단 규칙 적용
location / {
    if ($request_body ~* '(<script|javascript:|onerror=|onload=)') {
        return 403 'Potential XSS Attack Detected';
    }
    proxy_pass http://localhost:3000;
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 설치된 PostyBirb Plus의 버전을 확인하고, 데이터베이스 내에 저장된 설명 필드 중 악성 스크립트 패턴이 존재하는지 검사하는 스크립트 예시입니다.

bash

# package.json 파일에서 설치된 버전 확인
grep 'postybirb-plus' package.json

# 로그 파일 또는 데이터베이스 덤프에서 잠재적 XSS 페이로드 검색
grep -riE '(script|iframe|onerror|onload|eval\()' ./logs/ 2>/dev/null || true

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

보안 위협을 방지하기 위해 PostyBirb Plus를 즉시 최신 패치 버전인 3.1.76으로 업그레이드하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-120190)은 PostyBirb Plus의 제출물 설명 편집기(Submission Description Editor) 컴포넌트 내 ui/src/views/submissions/submission-forms/form-components/DescriptionInput.tsx 파일에서 발생합니다. 사용자로부터 입력받는 설명(Description) 데이터에 대해 적절한 입력값 검증(Validation) 및 출력 이스케이프(Sanitization) 처리가 누락되어, 악성 HTML 태그나 자바스크립트 코드가 그대로 렌더링되는 크로스 사이트 스크립팅(XSS, CWE-79) 및 코드 인젝션(CWE-94) 취약점이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 원격에서 PostyBirb Plus의 제출물 작성 기능을 이용하여 악성 스크립트(예: <script>, onload, onerror 이벤트 핸들러 등)가 포함된 설명 데이터를 전송합니다. 해당 데이터는 데이터베이스에 저장되거나 UI 상에 그대로 노출되며, 다른 사용자 또는 관리자가 해당 제출물 폼을 조회하거나 편집기 화면을 로드할 때 브라우저 상에서 악성 스크립트가 자동으로 실행됩니다. 이를 통해 세션 토큰 탈취, 권한 도용, 또는 악성 행위 유도가 가능해집니다.

3. 비즈니스 및 인프라 파급 영향

PostyBirb Plus는 다중 플랫폼 콘텐츠 게시 도구로 사용되므로, 내부 사용자의 세션이 탈취될 경우 연동된 외부 소셜 미디어 및 플랫폼 계정의 제어권이 공격자에게 넘어갈 수 있는 2차 피해 위험이 존재합니다. 또한, 내부 관리자 페이지가 노출되거나 악성 스크립트를 통한 피싱 공격으로 인해 조직 내 신뢰성이 크게 훼손될 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

A security flaw has been discovered in PostyBirb Plus up to 3.1.75. Affected by this vulnerability is an unknown functionality of the file ui/src/views/submissions/submission-forms/form-components/DescriptionInput.tsx of the component Submission Description Editor. The manipulation results in cross site scripting. The attack may be performed from remote. The exploit has been released to the public and may be used for attacks. Upgrading to version 3.1.76 addresses this issue. The patch is identified as 6b11c2345ad98ae59fd5404a9f1024eb1d10c8a4. It is advisable to upgrade the affected component.

https://github.com/mvdicarlo/postybirb-plus/commit/6b11c2345ad98ae59fd5404a9f1024eb1d10c8a4

출처: cna@vuldb.com

https://github.com/mvdicarlo/postybirb-plus/issues/504

출처: cna@vuldb.com

https://github.com/mvdicarlo/postybirb-plus/pull/506

출처: cna@vuldb.com

https://github.com/mvdicarlo/postybirb-plus/releases/tag/v3.1.76

출처: cna@vuldb.com

https://github.com/user-attachments/files/32685547/report.md

출처: cna@vuldb.com

https://vuldb.com/cve/CVE-2026-120190

출처: cna@vuldb.com