🇰🇷 한글 설명
Spring Framework의 FormTag에서 요청 URI에 대한 입력 검증 부족으로 인한 XSS 취약점입니다. 공격자가 악의적인 웹 스크립트나 HTML을 주입하여 웹 폼의 action 속성에 삽입할 수 있습니다.
💡 쉬운 설명
웹 주소(URL)에 악의적인 코드를 숨겨서 보내면, 이 코드가 사용자의 브라우저에서 실행되는 문제입니다. Spring 프레임워크의 오래된 버전에서 발생합니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in web/servlet/tags/form/FormTag.java in Spring MVC in Spring Framework 3.0.0 before 3.2.8 and 4.0.0 before 4.0.2 allows remote attackers to inject arbitrary web script or HTML via the requested URI in a default action.
📍 영향받는 시스템
Spring Framework 3.0.0~3.2.7, 4.0.0~4.0.1
⚔️ 공격 벡터
특수문자나 JavaScript 코드가 포함된 요청 URI를 웹 폼의 action 속성에 전달하여 XSS 실행
🛡️ 대응 방법
Spring Framework를 3.2.8 이상 또는 4.0.2 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 3.2.8 미만이거나 4.0.0~4.0.1이면 취약하며, 3.2.8 이상 또는 4.0.2 이상이면 패치됨
grep -E '(spring-webmvc|spring-framework)' pom.xml 2>/dev/null | grep -oP '(?<=>).*(?=<)' | head -1