🇰🇷 한글 설명
TileServer GL 3.0.0 이하 버전의 server.js에서 발견된 취약점입니다. GET 파라미터의 내용이 검증되지 않은 상태로 HTTP 응답에 반영되어 반사형 XSS(Cross-Site Scripting) 공격이 가능합니다.
💡 쉬운 설명
웹사이트 주소창에 악성 코드를 포함해 보내면, 서버가 이를 그대로 화면에 보여주어 사용자의 정보를 훔칠 수 있는 문제입니다. 공격자가 만든 링크를 클릭하는 것만으로도 위험할 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in server.js in TileServer GL through 3.0.0. The content of the key GET parameter is reflected unsanitized in an HTTP response for the application's main page, causing reflected XSS.
📍 영향받는 시스템
TileServer GL 3.0.0 및 그 이전 버전
⚔️ 공격 벡터
조작된 GET 파라미터가 포함된 URL을 통해 사용자의 브라우저에서 악성 스크립트 실행
🛡️ 대응 방법
TileServer GL을 최신 보안 패치가 적용된 버전으로 업데이트하거나 입력값 검증 로직을 적용해야 합니다.
🔧 검증 코드
출력된 버전이 3.0.0 이하인지 확인하여 취약 여부를 판단합니다.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server