공개 웹게시판 위즈몰 CSRF 취약점 발견

HTML 태그 필터링 기능의 패치 작업 필요

[보안뉴스 김태형] 국내 PHP 기반의 공개 웹 게시판인 위즈몰 6.5.5버전 게시판에서 CSRF(Cross Site Request Forger) 취약점이 발견되어 주의가 필요하다.

국제정보보안교육센터(i2sec) 18기 수강생 지민건 군은 “위즈몰 6.5.5버전 게시판을 구축해 취약점 테스트를 한 결과 CSRF 취약점을 발견했다”고 설명했다.

▲ CSRF 공격코드가 삽입된 게시글

쿠키 및 세션값을 탈취하여 이용하는 공격인 CSRF 공격을 당하게 되면 관리자 패스워드 변경, 권한 변경, 회원 탈퇴, 게시물 삭제 및 수정 등 해당 악성 게시물을 제공하는 서버로 전락할 수 있으며, CSRF는 취약점을 제공하는 클라이언트로 스크립트가 발생한다.

이번 테스트는 CSRF 공격코드가 삽입되어 있는 타 게시판 게시글의 링크 주소를 확인한 뒤, 위즈몰 게시판에 <embed>태그를 이용해 링크 주소를 삽입하고 이 때 hidden=”true”를 추가했다는 게 센터 측의 설명이다. 이로 인해 다른 사용자가 글을 열람해도 공격 당한지 알 수 없으며, 사용자의 회원정보 및 포인트 등이 변경 가능한 것을 확인할 수 있었다는 것.

국제정보보안교육센터 측은 “CSRF 취약점에 대응하기 위한 방안으로 모든 FORM/URL에서 요청할 때에 임의 토큰을 추가해 요청시 이 토큰을 검증하고 중요한 페이지는 재인증을 유도해야 하며 또한 HTML 태그 필터링 기능의 패치 작업을 수행해야 한다”고 전했다.

한편, 해당 취약점들은 현재 홈페이지를 운영하는 회사 측에 전달된 상태이며, 보안조치가 곧 마무리될 예정이다.

[김태형 기자(boan@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다