🇰🇷 한글 설명
GitLab 6.5.0 이전 버전에서 HTML 파일을 통해 임의의 스크립트가 실행될 수 있는 XSS 취약점입니다. 공격자가 README.html 등의 파일에 악의적 코드를 삽입하여 사용자의 브라우저에서 실행시킬 수 있습니다.
💡 쉬운 설명
GitLab에서 HTML 파일을 열 때 악성 스크립트가 자동으로 실행되는 문제입니다. 공격자가 이를 이용해 사용자의 정보를 도용하거나 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in GitLab 6.0 and other versions before 6.5.0 allows remote attackers to inject arbitrary web script or HTML via a crafted HTML file, as demonstrated by README.html.
📍 영향받는 시스템
GitLab 6.0 ~ 6.4.x (6.5.0 미만 모든 버전)
⚔️ 공격 벡터
HTML 파일 업로드 후 해당 파일을 렌더링할 때 포함된 JavaScript가 사용자의 세션에서 실행
🛡️ 대응 방법
GitLab을 6.5.0 이상으로 업그레이드하거나 HTML 렌더링 기능 비활성화
🔧 검증 코드
출력된 버전이 6.5.0 이상이면 안전, 6.4.x 이하면 취약함
cat /opt/gitlab/version 2>/dev/null | head -1