🇰🇷 한글 설명
Synology Photo Station 5의 DSM 3.2-1955 버전에서 photo/photo_one.php의 name 파라미터를 통해 XSS 공격이 가능합니다. 원격 공격자가 악의적인 웹 스크립트나 HTML을 주입하여 사용자의 세션을 탈취하거나 민감한 정보를 도용할 수 있습니다.
💡 쉬운 설명
Synology NAS의 사진 앱에서 파일 이름 입력란에 악성 코드를 삽입할 수 있는 보안 문제입니다. 공격자가 이를 이용해 사용자의 계정을 해킹하거나 개인 사진에 접근할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in Synology Photo Station 5 for DiskStation Manager (DSM) 3.2-1955 allows remote attackers to inject arbitrary web script or HTML via the name parameter to photo/photo_one.php.
📍 영향받는 시스템
Synology Photo Station 5 for DSM 3.2-1955 이하 버전
⚔️ 공격 벡터
photo/photo_one.php의 name 파라미터에 JavaScript 코드를 포함한 특수 문자열을 전송하여 XSS 실행
🛡️ 대응 방법
DSM 3.2-1955 이후의 보안 패치 버전으로 업그레이드하거나 Photo Station 5를 최신 버전으로 업데이트
🔧 검증 코드
Synology NAS의 Photo Station 버전을 확인하여 DSM 3.2-1955 이하인지 판단합니다. 접근 불가능하면 해당 서비스가 비활성화되어 있으므로 안전합니다.
curl -s http://localhost:5000/photo/photo_one.php 2>/dev/null | grep -i 'version\|photo.*station' || echo 'Photo Station not accessible'