🇰🇷 한글 설명
Universal Feed Parser 5.0.1 이전 버전에서 예상치 못한 URI 스키마(javascript: 등)를 처리할 때 입력값을 충분히 검증하지 않아 XSS 공격이 발생합니다. 피드 내용을 파싱하는 과정에서 악의적인 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
feedparser가 피드의 링크를 처리할 때 위험한 링크(javascript: 명령)를 걸러내지 못해 웹페이지에서 악성 스크립트가 실행될 수 있습니다. 사용자의 브라우저에서 공격자가 원하는 액션을 수행하도록 만들 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in feedparser.py in Universal Feed Parser (aka feedparser or python-feedparser) 5.x before 5.0.1 allows remote attackers to inject arbitrary web script or HTML via an unexpected URI scheme, as demonstrated by a javascript: URI.
📍 영향받는 시스템
Universal Feed Parser (python-feedparser) 5.x 버전 5.0.1 이전
⚔️ 공격 벡터
RSS/Atom 피드의 링크 또는 콘텐츠에 javascript: URI 스키마를 삽입하여 원격 공격자가 임의의 스크립트 실행
🛡️ 대응 방법
Universal Feed Parser를 5.0.1 이상으로 업그레이드
🔧 검증 코드
위 명령어 실행 후 버전이 5.0.0 이하면 취약, 5.0.1 이상 또는 설치 안 됨이면 안전
python3 -c "import feedparser; print(feedparser.__version__)" 2>/dev/null | grep -E '^5\.(0\.[0-9]|[0-9])' && echo 'Vulnerable' || echo 'Safe or not installed'