🇰🇷 한글 설명
Node.js용 express-cart 패키지 1.1.10 이하 버전에서 제품 옵션 입력 필드를 통해 관리자 대상 반사형 XSS(Cross-Site Scripting) 공격이 가능합니다. 벤더 측은 이 취약점이 악용되려면 관리자가 자신의 웹사이트를 스스로 해킹해야 하는 상황이 전제되어야 한다고 언급했습니다.
💡 쉬운 설명
사용자가 입력한 값이 검증 없이 관리자 화면에 그대로 나타나서 발생하는 보안 문제입니다. 공격자가 악성 코드를 심어두면 관리자가 해당 페이지를 볼 때 관리자 권한이 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
The express-cart package through 1.1.10 for Node.js allows Reflected XSS (for an admin) via a user input field for product options. NOTE: the vendor states that this "would rely on an admin hacking his/her own website.
📍 영향받는 시스템
express-cart package version <= 1.1.10
⚔️ 공격 벡터
제품 옵션 입력 필드에 악성 스크립트를 삽입하여 관리자가 해당 내용을 조회하도록 유도하는 방식
🛡️ 대응 방법
express-cart 패키지를 최신 버전으로 업데이트하거나 입력값에 대한 적절한 출력 이스케이프 처리를 적용해야 합니다.
🔧 검증 코드
출력된 결과에서 express-cart의 버전이 1.1.10 이하인지 확인합니다.