나모 크로스에디터는 서버에 웹셸이 올라가는 업로드 취약점을 2019년부터 2025년까지 여러 차례 고쳤다. 벤더 패치내역에 웹셸 업로드 수정이라고 적힌 마지막 버전은 4.x가 4.6.0.25, 3.x가 3.5.1.45이고, 그보다 낮으면 그 수정이 빠져 있다. 4.x 최신은 2026년 10월 26일에 나온 4.6.1.08이다. 오늘 할 일은 셋이다. Ctrl+Shift+A로 에디터 버전을 확인해 패치를 요청하고, 업로드 허용 확장자와 업로드 폴더 실행 권한을 점검하고, 업로드 폴더에 실행 가능한 파일이 생기지 않았는지 본다.
KISA 보호나라의 권고는 2020년 12월과 2023년 5월 두 번이었고, 그 뒤 나모 제품을 다룬 KISA 보안공지는 확인되지 않는다(2026-10-30 검색). 그사이 벤더는 웹셸 업로드 수정을 네 번 더 냈다. KISA 2023 권고 버전(4.5.0.06)에서 멈춰 있다면 아직 부족하다. 2026년 10월 29일에는 같은 제품군인 크로스업로더의 샘플 파일 취약점도 공지됐다.
한눈에 보기
| 항목 | 내용 |
|---|---|
| 제품 | 나모 크로스에디터(CrossEditor) 3.x·4.x, 지란지교소프트 나모에디터사업부의 웹 HTML 에디터. 같은 제품군 크로스업로더(CrossUploader)도 KISA 2023·벤더 2026-10-29 공지에 들어 있다 |
| 취약점 유형 | 업로드 기능으로 서버에서 실행되는 스크립트(JSP 등), 즉 웹셸을 올리는 문제. 통로는 샘플 페이지, 관리자 페이지, 파일넣기·그림넣기, 임시 폴더로 바뀌어 왔다 |
| 영향 버전 | KISA 2020: 3.5.1.38 이하, 4.3.2.29 이하. KISA 2023 업데이트 권고: CrossEditor 4.5.0.06 이상, CrossUploader 2.0.02 이상. 벤더 패치내역의 마지막 웹셸 업로드 수정 기준: 4.x 4.6.0.25 미만, 3.x 3.5.1.45 미만 |
| 수정 버전 | 4.x 최신 4.6.1.08(2026-10-26), 3.x 최신 3.5.1.52(날짜 미표기). 3.x가 4.x의 임시 폴더 문제에 해당하는지는 공개 문서에 없다 |
| KISA 공지 | 2020-12-09 업로드 취약점 보안 업데이트 권고, 2023-05-15 제품군 보안패치 적용과 파일 업로드 보안 강화 권고. 이후 나모 제품 공지는 확인되지 않는다 |
| CVE·KVE | 확인한 웹셸 업로드 공지에는 일부 KVE 번호(KVE-2023-6117, KVE-2025-0328, KVE-2025-0399)가 있으며 CVE 번호는 확인하지 못했다. 2026-10-30 조사에서 확인한 크로스에디터 CVE는 별개의 Stored XSS인 CVE-2025-7672다 |
| 확인된 악용 정황 | 악용 사례나 피해 기관을 밝힌 1차 자료와 공개 PoC는 찾지 못했다. KISA 2020은 '악성코드 감염 등의 피해를 발생시킬 수 있으므로'라고 가능성으로 적었다 |
| 함께 볼 일정 | Chrome 158(2026-11-17 예정)부터 XSLT가 기본 비활성화되므로, 벤더는 4.6.1.05·3.5.1.52 이상을 요구한다(벤더 공지). Origin Trial·기업 정책 적용 환경에는 일시적 예외가 있다 |
| 지금 할 일 | 에디터 화면 목록 작성 → Ctrl+Shift+A로 버전 확인 → 업로드 폴더 점검 → 폴더 실행 차단·허용 확장자 정리 → 최신 패치 요청 |
무엇이 문제인가
크로스에디터는 브라우저에서 도는 편집기지만 그림넣기와 파일넣기는 서버 쪽 업로드 모듈이 처리한다. 이 모듈은 설치 폴더 websource 아래 개발언어별 폴더(jsp, php, asp, aspx)의 ImageUpload, FileUpload, upload 같은 파일이다. 올라간 파일은 따로 정하지 않으면 설치 폴더 binary 아래에 000001 같은 하위 폴더를 붙여 저장된다(그림은 binary/images).
서버가 확장자와 저장 경로를 제대로 검사하지 못하면 공격자는 .jsp나 .php 같은 스크립트 파일을 올린 뒤 그 주소를 불러 서버에서 실행한다. 이렇게 심어 두고 밖에서 명령을 내리는 스크립트가 웹셸이다. 벤더는 2024년 1월 공지에서 '공격자가 서버에서 실행 가능한 스크립트(JSP)를 업로드하여 서버해킹'할 수 있던 문제를 고쳤다고 밝혔고, KISA 2023 공지는 원인을 '확장자 검증 미흡'으로 설명했다.
통로는 그때마다 달랐다. 2019년에는 업로드 모듈(fileupload.jsp 등)과 샘플 페이지의 파일첨부, 2020년에는 관리자 페이지의 비밀번호 변경 기능, 2024년에는 파일넣기와 그림넣기, 2024~2025년에는 임시 폴더였다. 최신 4.6.1.08에도 업로드 저장 경로·확장자·크기 검증 강화가 들어갔으니, 같은 업로드 기능을 몇 년째 손보고 있는 셈이다.
옛 버전이 오래 남는 데도 이유가 있다. 게시판을 만들 때 한 번 설치하면 잊기 쉽고, 외주로 구축한 사이트는 유지보수 계약이 끝나면 버전을 챙길 사람이 사라지기 쉽다. 패치는 벤더에게 받은 파일을 설치 폴더에 덮어쓰고 Config.xml을 병합하는 수작업이며, 벤더는 최신 버전 제공을 유지보수(무상/유상) 계약 고객사에 한한다고 공지했다.
PHP로 에디터를 돌린다면 PHP도 함께 본다. 벤더는 10월 29일 공지에서 크로스에디터 라이선스 인증 처리로는 PHP2Shell을 통한 직접 공격 경로가 확인되지 않았다면서도, PHP 실행 환경을 운영하면 그 서버의 보안 패치는 확인하라고 했다. 확인 순서는 PHP2Shell PHP 취약점 대응에 있다.
우리 사이트가 해당되는지 확인하는 법
먼저 에디터가 붙은 화면을 모두 찾는다. 게시판 글쓰기, 공지를 쓰는 관리자 화면, 오래된 이벤트 사이트와 서브도메인까지 넣는다. 잊힌 사이트를 찾는 법은 공격표면 관리(ASM) 자가점검 5단계에 있다.
| 환경 | 확인 방법 | 판단 기준 |
|---|---|---|
| 에디터 화면 | 에디터가 뜬 화면에서 Ctrl+Shift+A를 눌러 제품정보의 버전과 제품번호를 본다. HideProductVersion(4.6.0.15 이상)을 켠 사이트는 버전이 안 보일 수 있다 |
4.x: 4.6.0.25 미만은 웹셸 업로드 수정 전, 4.6.1.08 미만은 최신 아님. 3.x: 3.5.1.45 미만은 웹셸 업로드 수정 전 |
| 설치 폴더 | 페이지 소스에서 js/namo_scripteditor.js를 부르는 주소의 앞부분이 설치 폴더다. 서버에서 그 아래 websource, binary, config/xmls/Config.xml, manage를 본다 |
manage가 있으면 관리자 페이지가 남아 있다(4.6.0.10 이상은 기본 미제공) |
| 서버 쪽 업로드 모듈 | websource/ 아래 언어 폴더의 ImageUpload, FileUpload, upload, ImagePath와 수정 일자를 본다. WEB·WAS를 나눴다면 이 폴더는 WAS에 있다 |
수정 일자가 마지막 패치일과 맞는지(일반 점검). 4.3.2.06 이상은 UploadFileExtBlockList.{개발언어}에 필요한 확장자만 있는지 |
| 3.x와 4.x | 버전 첫 자리로 나눈다. 3.x 패치내역은 홈페이지 릴리즈노트에 없고 벤더 도움말 사이트에만 있다 | 최신 3.5.1.52·4.6.1.08, Chrome XSLT 중단 대응 최소 3.5.1.52·4.6.1.05 |
| 외주·유지보수 업체 | 버전 화면 캡처, 제품번호, 적용한 패치 버전과 일시를 서면으로 받는다 | '최신으로 했다'는 답만으로 닫지 않는다 |
- 밖에서 보이는 JS 버전은 참고만: 스캐너나 브라우저로 읽은 JS 버전은 서버 쪽 업로드 모듈이 패치됐다는 증거가 아니다. 패치는 설치 폴더 덮어쓰기이고 WEB·WAS를 나눈 구성에서는
websource가 WAS에 따로 있어, JS만 새것이고 업로드 모듈은 옛 파일로 남을 수 있다(일반 점검). 4.6.1.03부터는 엔진 파일 안의 버전 정보 노출도 막았다. - KISA 기준과 벤더 기준: 판단은 KISA 권고 버전이 아니라 벤더 패치내역으로 한다. KISA 2020 원문의 '3.5.39'는 3.x 패치내역의 3.5.1.39 항목과 같은 수정이다.
- 4.6.0.25 이상이어도: 4.6.1.07은 로그인 없이 되는 SSRF와 'SaveAs 비인증 파일 쓰기'를 고쳤다. 벤더가 웹셸로 적지는 않았지만 인증 없이 서버에 파일을 쓰는 문제였으니 4.6.1.08을 목표로 잡는다.
공지와 버전 타임라인
패치내역의 릴리즈 날짜는 4.6.0.24부터 붙어 있어 그 전은 공지일로 적었다. 3.x 패치내역에는 날짜가 없다.
- 2019-10-17(벤더): 국가정보원 점검에 따른 패치. 3.5.1.14 이하·4.2.0.12 이하에서 업로드 모듈(
fileupload.jsp등)과 샘플 페이지 파일첨부로 웹셸을 올려 실행할 수 있었다. - 2020-11-17(벤더), 2020-12-09(KISA): 관리자 페이지 비밀번호 변경 기능을 이용한 웹셸 업로드. 영향 3.5.1.38 이하·4.3.2.29 이하, 수정 3.5.1.39·4.3.2.31.
- 2023-05-15(KISA): 확장자 검증 미흡으로 생기는 실행 가능 파일 업로드. CrossEditor 4.5.0.06, CrossUploader 2.0.02 이상을 권고했다. 패치내역의 4.5.0.06과 3.5.1.44에 'KISA 보안 취약점 - 웹쉘 업로드 취약점 수정'이 있다.
- 2024-01-02(벤더): 파일넣기 웹셸 업로드(KVE-2023-6117), 4.6.0.08에서 수정. 3.x는 3.5.1.45에 같은 번호의 수정이 있다.
- 2024-09-26(벤더): 그림넣기 웹셸 업로드, 4.6.0.15에서 수정. 패치내역에는 패킷 변조로 임시폴더에 파일이 올라가던 문제도 적혀 있다.
- 2025-06-23, 2025-08-05: 4.6.0.24(KVE-2025-0328)와 4.6.0.25(KVE-2025-0399), 둘 다 임시 폴더 웹셸 업로드 수정이다. 벤더가 웹셸이라고 적은 4.x 수정은 4.6.0.25가 마지막이다.
- 2026-05-07(벤더): Chrome XSLT 지원 중단 대응 공지. Google 일정상 Chrome 158(2026-11-17 예정)부터 XSLT가 기본 비활성화되므로(Origin Trial·기업 정책 적용 환경은 일시적 예외) 3.5.1.52·4.6.1.05 이상이 필요하다.
- 2026-07-29, 2026-09-17: 4.6.1.06(업로드 기본 제한 확장자 추가), 4.6.1.07(미인증 SSRF와 SaveAs 비인증 파일 쓰기 수정).
- 2026-10-26: 4.6.1.08(최신). 업로드 저장 경로·확장자·크기 검증 강화, 이미지 파일 내용 검증 강화, XXE 수정 등 보안 항목 11개.
- 2026-10-29(벤더): 크로스업로더
UploadProcess.jsp샘플 파일 취약점(1.0.00 ~ 3.0.09). 샘플 폴더 삭제와 로그·업로드 경로 점검을 권고했고, 수정 버전은 공지에 없다.
대응 순서
오늘
- 웹 운영 담당: 에디터가 붙은 화면 목록을 만든다. 화면 주소, 에디터 계열과 버전, 서버 언어(JSP·PHP·ASP·ASP.NET), WEB·WAS 구성, 유지보수 업체를 한 줄에 적는다. 버전은 화면마다
Ctrl+Shift+A로 보고 제품번호도 남긴다. - 서버 담당: 업로드 폴더부터 들여다본다. 아래 '웹셸 흔적 점검'의 업로드 폴더 명령만 먼저 돌려도 된다. 의심 파일이 나오면 지우지 말고 7번으로 간다.
- 서버 담당: 업로드 폴더에서 스크립트가 돌지 않게 막는다. KISA는 업로드 폴더의 '실행' 속성을 없애고 '읽기'만 남기라고 했고, 벤더도 10월 29일 크로스업로더 공지에서 업로드 폴더의 스크립트 실행 제한을 권고했다. 웹서버·WAS에서 그 경로의 스크립트 처리를 빼거나 스크립트 확장자 요청을 거부하고, 게시글 이미지와 첨부가 그대로 열리는지 확인한다(설정은 일반 점검).
- 서버 담당: 서버 쪽 허용 확장자 목록을 줄인다. 4.3.2.06 이상은
websource/{개발언어}/UploadFileExtBlockList.{개발언어}에 허용 확장자를 적는다(예:uploadFileExtBlockList = "doc,docx";). 이름과 달리 허용 목록이다. 에디터 페이지의 같은 이름 설정은 브라우저 쪽이라 직접 만든 요청은 서버 쪽 목록이 막아야 한다(일반 원칙). KISA가 짚은 exe·jsp·html 같은 실행 파일은 넣지 않는다. - 서버 담당: 관리자 페이지와 샘플을 정리한다.
manage폴더가 있으면 밖에서 열리지 않게 막는다. 크로스업로더를 쓴다면UploadProcess.jsp호출 이력을 확인하고, 원본 접근·오류 로그와 샘플 폴더 사본을 해시값과 함께 보존한 뒤 정리한다(일반 점검). 실서비스에 쓰지 않는/NamoCrossUploaderH5Samples,/NamoCrossUploaderJaSamples폴더는 보존 후 삭제하고, 실제로 쓰는 샘플은 접근을 제한한 뒤 사용자 인증·권한 확인, 서버 측 파일 검증과 안전한 저장 경로를 적용한다. 다른 경로에 남은UploadProcess.jsp도 찾는다(벤더 2026-10-29). - IT 책임자: 최신 패치를 요청한다. 유지보수 업체에, 업체가 없으면 벤더 크로스에디터 기술지원팀([email protected], 031-608-4100)에 제품번호와 함께 요청한다. 3.x는 2024~2025년 임시 폴더 웹셸 문제에 해당하는지 서면으로 묻는다.
- 침해 대응 담당: 흔적이 보이면 지우거나 재설치하기 전에 증거부터 남긴다. 전원을 유지한 채 서버를 네트워크에서 격리하고, 의심 파일과 업로드 폴더 사본, 원본 접근·오류 로그, 가능한 메모리 증거를 해시값과 함께 보존한다. 계정 담당은 노출됐을 수 있는 비밀번호·API 키·세션을 신뢰할 수 있는 관리 환경에서 바로 무효화하고, 침해 경로를 없앤 환경에 새 자격증명을 적용한다(일반 점검). 신고와 상담은 KISA(국번 없이 118)로 한다. 첫 1시간은 침해사고 1시간 골든타임 액션북을 따른다.
이번 주
- 서버 담당: 벤더 절차대로 패치한다. 설치 폴더를 백업한 뒤(일반 점검) 패치 파일을 덮어쓰고
update/config/Config.xml의 새 설정 항목을config/xmls/Config.xml에 병합한다. 파일을 다시 읽지 못하면 서버를 재구동하고 work directory의 예전 컴파일 코드를 지운다(벤더 설치 도움말·FAQ). WEB·WAS를 나눴다면 WAS의websource까지 바뀌었는지 본다. - 서버 담당: 패치 뒤 다시 확인한다.
ImagePath,UploadFileExtBlockList같은 서버 설정 값이 그대로인지 백업본과 비교하고(일반 점검),Ctrl+Shift+A로 버전을 본다. 허용 목록 밖 확장자가 거절되는지는 시험 서버에서 본다. - 보안 담당: KISA 점검 서비스를 신청한다. KISA 2023 공지는 내서버 돌보미 점검이나 웹셸 탐지 프로그램 휘슬로 서버 안 악성 파일을 주기적으로 점검하라고 했다(보호나라 정보보호서비스 > 기업서비스 > 서비스 신청하기).
- 보안 담당: 에디터 밖의 업로드 기능도 같은 기준으로 본다. KISA 2023 공지는 나모 제품이 아니어도 업로드 보안정책이 약하면 악성파일이 올라갈 수 있다고 했다. 첨부파일이나 프로필 이미지 업로드에도 허용 확장자 목록, 폴더 실행 차단, 서버 쪽 검증이 있는지 확인한다.
이번 달
- 개발 담당: 업로드 저장 경로를 스크립트가 도는 영역과 떼어 놓는다. 저장 경로(
imagePhysicalPath)와 URL 경로(imageUPath)는ImagePath.{개발언어}에서 정하고, 밖에서 경로 값이 들어와도 이 파일 값이 우선한다. 웹 프로젝트 밖으로 옮기면 WAS에 context path나 virtual directory 설정이 필요하다(벤더). 그림은 웹에서 열리되 실행은 안 되는 정적 경로에 둔다(일반 점검). - IT 책임자: 유지보수 계약과 3.x 방향을 정한다. 최신 버전 제공, 패치 기한, 증빙 제출이 계약에 들어 있는지 본다. 3.x는 4.x로 옮길지, 3.5.1.52 이상에서 벤더 확인을 받을지 정한다.
- 보안 담당: 벤더 패치내역을 정기 점검 목록에 넣는다. 4.x와 3.x 패치내역은 벤더 도움말 사이트에 따로 있다. KISA 공지만 기다렸다면 2024~2025년 수정은 모두 놓쳤다.
웹셸 흔적 점검
크로스에디터 웹셸 건에 공개된 침해 지표(공격 IP, 파일 이름, 해시)는 없다. 근거 칸에 벤더·KISA 항목과 일반 점검을 구분했다. 지표 하나로 침해를 확정할 수 없고, 아무것도 안 나왔다고 안전하다는 뜻도 아니다.
| 확인할 곳 | 볼 내용 | 근거 |
|---|---|---|
업로드 폴더(binary 아래 images·files·flashes의 000001 형식 폴더, ImagePath로 바꾼 경로) |
.jsp, .jspx, .php, .asp, .aspx, .html 같은 스크립트 파일과 .htaccess, web.config 같은 설정 파일 |
KISA 2023, 벤더 2026-10-29(업로드 경로 점검), 4.6.0.05 .htaccess 검증 추가(벤더). web.config는 일반 점검 |
| 이미지 확장자 파일 | 내용이 이미지가 아니거나 <?php, <%@ 같은 코드가 든 파일 |
4.6.1.08의 '비이미지 파일의 이미지 확장자 저장 차단'(벤더). 확인 방법은 일반 점검 |
임시 폴더, websource(ASP·ASP.NET) |
최근 생긴 스크립트 파일, 패치 파일 목록에 없는 파일 | 임시 폴더 웹셸 수정(벤더, 경로 비공개). ASP·ASP.NET은 websource도 업로드 기본 폴더다(벤더 설치 도움말). 확인은 일반 점검 |
| 접근 로그 | 업로드 모듈 요청 직후 같은 IP가 업로드 폴더의 스크립트를 부른 기록, manage/와 UploadProcess.jsp·샘플 폴더 호출 |
일반 점검, 로그의 호출 이력 확인(벤더 2026-10-29) |
| 프로세스 | WAS·웹서버 계정이 띄운 셸(sh, bash, cmd.exe, powershell.exe)과 curl·wget 같은 다운로드 도구. Windows는 부모가 w3wp.exe(IIS)나 java.exe(Tomcat)인 셸 | 일반 점검 |
명령은 모두 일반 점검이고 경로는 사이트마다 다르다.
- 업로드 폴더(Linux):
find /에디터설치폴더/binary -type f \( -iname "*.jsp*" -o -iname "*.php*" -o -iname "*.phtml" -o -iname "*.asp*" -o -iname "*.htm*" -o -iname ".htaccess" \) -ls. 임시 폴더 경로는 공개 문서에 없으니 같은 명령을 설치 폴더 전체에 돌려 패치 파일 목록에 없는 스크립트를 추린다. - 이미지로 위장한 파일:
find /에디터설치폴더/binary -type f \( -iname "*.jpg" -o -iname "*.jpeg" -o -iname "*.png" -o -iname "*.gif" \) -exec file {} + | grep -v "image data"와grep -rlaE '<\?php|<%@|runat="server"' /에디터설치폴더/binary. 우연히 같은 글자가 든 이미지도 있으니 걸린 파일은 열어 보고 판단한다. - 접근 로그:
zgrep -hE '/binary/[^ ?]*\.(jsp|jspx|php|phtml|asp|aspx)' 접근로그경로*로 업로드 폴더의 스크립트 요청을,zgrep -hE 'websource/(jsp|php|asp|aspx)/(ImageUpload|FileUpload|upload)\.' 접근로그경로*로 업로드 요청을 뽑아 IP와 시각을 맞춰 본다(저장 경로를 바꿨다면/binary/대신 그 경로). - Windows(IIS): 파일은
Get-ChildItem "D:\에디터설치폴더\binary" -Recurse -File -Include *.asp,*.aspx,*.ashx,*.config,*.jsp,*.php, 로그는Select-String -Path "C:\inetpub\logs\LogFiles\W3SVC*\*.log" -Pattern '/binary/.*\.(asp|aspx|ashx|jsp|php)'로 본다.
외주·유지보수 업체가 관리한다면
구축과 유지보수를 업체가 맡았다면 아래 항목을 서면으로 요청하고 회신 기한을 정한다. '최신으로 적용했다'는 한 줄 답이 오면 증빙을 다시 요청한다.
- 사이트·화면별 에디터 계열과 버전(
Ctrl+Shift+A화면 캡처), 제품번호 - 적용한 패치 버전과 일시, WEB·WAS 서버별 적용 범위(WAS의
websource까지 바꿨는지) - 서버 쪽 허용 확장자 목록(
UploadFileExtBlockList.{개발언어})과 업로드 폴더 실행 차단 설정의 현재 값, 바꾼 내역 - 관리자 페이지(
manage)와 크로스업로더 샘플 폴더가 남아 있는지와 조치 결과 - 업로드 폴더·접근 로그 점검 결과와 점검 기간
- 계약에 최신 버전 제공이 들어 있는지, 3.x라면 4.x 전환 일정이나 벤더 확인 결과
외주 계약에 보안 패치 기한과 증빙 조항을 넣는 방법은 공급망 보안 체크리스트: 외주 개발사·SaaS·오픈소스로 뚫리는 루트에 있다.
자가점검
'아니오'가 나온 항목부터 대응 순서로 돌아간다.
1. 에디터가 붙은 사이트와 화면 목록이 있는가
옛 게시판, 이벤트 사이트, 서브도메인에 남은 에디터가 자주 빠진다.
2. 화면마다 버전을 직접 보거나 업체 증빙으로 확인했는가
밖에서 읽은 JS 버전은 서버 쪽 업로드 모듈이 패치됐다는 증거가 아니다.
3. 4.x는 4.6.0.25 이상, 3.x는 3.5.1.45 이상인가
그보다 낮으면 벤더가 웹셸 업로드라고 적은 수정이 빠져 있다. 4.x는 4.6.1.08까지 올리는 것을 기준으로 삼는다.
4. 서버 쪽 허용 확장자 목록을 줄이고 업로드 폴더의 스크립트 실행을 막았는가
브라우저 쪽 설정은 직접 만든 요청으로 우회될 수 있고, KISA는 업로드 폴더를 읽기만 되게 하라고 권고했다.
5. 관리자 페이지와 크로스업로더 샘플 폴더가 밖에서 열리지 않는가
2020년 KISA 공지와 2026년 10월 29일 벤더 공지가 짚은 경로다.
6. 업로드 폴더와 접근 로그를 점검하고 결과를 남겼는가
아무것도 나오지 않았다면 그 사실과 점검 기간을 기록해 둔다.
7. 유지보수 계약에 최신 버전 제공과 패치 증빙이 들어 있는가
벤더는 최신 버전을 유지보수 계약 고객사에 제공한다.
밖에서 보이는 에디터 버전부터 무료로 확인하기
보안 전문 기업 SENTRIX의 무료 취약점 스캐너로 나모 크로스에디터 버전 확인 페이지에 주소만 넣으면, 그 사이트 첫 화면과 /crosseditor/ 경로의 공개 응답에서 크로스에디터 본체 JS 버전을 읽어 영향 범위인지 보여 준다. 업로드나 관리자 화면에는 요청을 보내지 않는다. /crosseditor/ 경로와 첫 화면이 불러오는 파일만 보기 때문에 다른 경로나 로그인 뒤 화면의 에디터는 찾지 못하고, 서버 쪽 업로드 모듈에 패치가 적용됐는지도 확인하지 못한다. 직접 운영하거나 점검을 맡은 사이트만 넣는다. 업로드 기능이 실제로 막혀 있는지 알고 싶다면 보안 실무 10년의 레드팀이 모의해킹으로 확장자 검증과 업로드 폴더 실행 차단을 직접 시험한다. 범위와 일정은 상담에서 정하며, 업로드 기능 실제 검증 문의로 연락하면 된다.
참고 자료
- KISA 보호나라, 나모 크로스에디터 업로드 취약점 보안 업데이트 권고(2020-12-09)
- KISA 보호나라, 나모 웹에디터 제품군 보안패치 적용 및 웹페이지 파일 업로드 보안 강화 권고(2023-05-15)
- KISA 보호나라, 보안공지 '나모' 검색 결과(2026-10-30 확인)
- 지란지교소프트 나모에디터, 나모 크로스에디터 보안취약점 업데이트 안내 (31)(2019-10-17)
- 지란지교소프트 나모에디터, 나모 크로스에디터 보안취약점 업데이트 안내 (38)(2020-11-17)
- 지란지교소프트 나모에디터, 나모 크로스에디터 보안취약점 업데이트 안내(2024-01-02)
- 지란지교소프트 나모에디터, 크로스에디터 4.6 보안업데이트 안내(2024-09-26)
- 지란지교소프트 나모에디터, 크로스에디터 4.6 Chrome XSLT 지원 중단 대응 패치 안내(2026-05-07)
- 지란지교소프트 나모에디터, 크로스에디터, 크로스업로더 보안 이슈 대응 안내 (PHP, Node.JS 취약점 외)(2026-10-29)
- 지란지교소프트 나모에디터, 크로스에디터 릴리즈 노트(2026-10-30 확인)
- 지란지교소프트 나모에디터, 크로스에디터4 패치내역(2026-10-26 갱신)·크로스에디터3 패치내역(2026-06-11 갱신)
- 지란지교소프트 나모에디터, 크로스에디터4 설치 도움말·설치 도움말 FAQ(2026-03-06 갱신)
- 지란지교소프트 나모에디터, 보안 취약점 관련 에디터 설정 가이드(2026-10-26 갱신)
- 지란지교소프트 나모에디터, 관리자 설정 안내(2025-09-08 갱신)
- 지란지교소프트 나모에디터, API 도움말 HideProductVersion·UploadFileExtBlockList(2025-09-15 갱신)
- NIST NVD, CVE-2025-7672(2025-07-15)
- Chrome for Developers, Deprecating XSLT(2025-10-29)