🇰🇷 한글 설명
Spyce Python Server Pages 2.1.3에서 발견된 다중 XSS(크로스 사이트 스크립팅) 취약점으로, redirect.spy, handlervalidate.spy, request.spy 등 여러 예제 파일의 url, type, x, name, mytextarea, mypass, newline, text1, mytext, mydate 등의 입력 매개변수를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 공격자는 이를 악용하여 사용자 세션을 탈취하거나 민감한 정보를 유출할 수 있습니다.
💡 쉬운 설명
Spyce 웹 서버의 입력 필터링 부족으로 인해 악의적인 코드를 웹 페이지에 삽입할 수 있는 보안 결함입니다. 피해자가 감염된 링크를 클릭하면 공격자의 코드가 브라우저에서 실행되어 개인정보를 탈취당할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Spyce - Python Server Pages (PSP) 2.1.3 allow remote attackers to inject arbitrary web script or HTML via (1) the url or type parameter to docs/examples/redirect.spy; (2) the x parameter to docs/examples/handlervalidate.spy; (3) the name parameter to spyce/examples/request.spy; (4) the Name parameter to spyce/examples/getpost.spy; (5) the mytextarea parameter, the mypass parameter, or an empty parameter to spyce/examples/formtag.spy; (6) the newline parameter to the default URI under demos/chat/; (7) the text1 parameter to docs/examples/formintro.spy; or (8) the mytext or mydate parameter to docs/examples/formtag.spy.
📍 영향받는 시스템
Spyce Python Server Pages (PSP) 버전 2.1.3 이하
⚔️ 공격 벡터
다양한 예제 파일의 쿼리 파라미터 또는 폼 입력값을 통한 XSS 페이로드 주입
🛡️ 대응 방법
Spyce를 최신 보안 패치가 적용된 버전으로 업그레이드하거나, 입력값을 적절히 인코딩/필터링하는 현대 웹 프레임워크로 마이그레이션
🔧 검증 코드
Spyce가 설치되어 있고 버전이 2.1.3 이하면 취약하며, 설치되지 않았으면 해당 코드는 영향을 받지 않습니다.
pip list 2>/dev/null | grep -i spyce || echo 'Spyce not installed'