🇰🇷 한글 설명
Python의 XML-RPC 서버에서 server_title 필드를 통해 XSS(교차 사이트 스크립팅) 취약점이 발생합니다. 신뢰할 수 없는 입력값이 set_server_title 함수에 전달될 경우, 해당 서버의 URL을 방문하는 클라이언트에게 임의의 자바스크립트가 실행될 수 있습니다.
💡 쉬운 설명
서버의 이름을 설정하는 기능에 악성 코드를 숨겨 넣을 수 있는 보안 약점입니다. 이 서버에 접속하는 사용자의 브라우저에서 해커가 의도한 나쁜 코드가 실행될 위험이 있습니다.
🇺🇸 원문 (English)
The documentation XML-RPC server in Python through 2.7.16, 3.x through 3.6.9, and 3.7.x through 3.7.4 has XSS via the server_title field. This occurs in Lib/DocXMLRPCServer.py in Python 2.x, and in Lib/xmlrpc/server.py in Python 3.x. If set_server_title is called with untrusted input, arbitrary JavaScript can be delivered to clients that visit the http URL for this server.
📍 영향받는 시스템
Python 2.7.16 이하, 3.x ~ 3.6.9, 3.7.x ~ 3.7.4
⚔️ 공격 벡터
신뢰할 수 없는 입력값을 set_server_title 함수에 전달하여 악성 스크립트 주입
🛡️ 대응 방법
Python 버전을 취약점이 해결된 최신 버전으로 업데이트
🔧 검증 코드
출력된 Python 버전을 확인하여 취약한 버전 범위에 해당하는지 대조합니다.
python --version 2>/dev/null || python3 --version 2>/dev/null