🇰🇷 한글 설명
Wiki.js 2.5.263 및 이전 버전에서 발생하는 저장형 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 가짜 MIME 타입을 사용하여 악성 스크립트가 포함된 SVG 파일을 업로드하면, 다른 사용자가 해당 파일을 직접 볼 때 악성 자바스크립트가 실행될 수 있습니다.
💡 쉬운 설명
해커가 겉보기에는 이미지 파일 같지만 실제로는 악성 코드가 숨겨진 파일을 서버에 올릴 수 있는 문제입니다. 다른 사용자가 이 파일을 클릭해 열어보면 해커가 의도한 나쁜 동작이 사용자의 브라우저에서 실행될 수 있습니다.
🇺🇸 원문 (English)
Wiki.js is a wiki app built on node.js. Wiki.js 2.5.263 and earlier is vulnerable to stored cross-site scripting through a SVG file upload made via a custom request with a fake MIME type. By creating a crafted SVG file, a malicious Wiki.js user may stage a stored cross-site scripting attack. This allows the attacker to execute malicious JavaScript when the SVG is viewed directly by other users. Scripts do not execute when loaded inside a page via normal `<img>` tags. The malicious SVG can only be uploaded by crafting a custom request to the server with a fake MIME type. A patch in version 2.5.264 fixes this vulnerability by adding an additional file extension verification check to the optional (enabled by default) SVG sanitization step to all file uploads that match the SVG mime type. As a workaround, disable file upload for all non-trusted users.
📍 영향받는 시스템
Wiki.js 2.5.263 및 그 이전 모든 버전
⚔️ 공격 벡터
가짜 MIME 타입을 포함한 커스텀 요청을 통해 악성 SVG 파일을 업로드하여 공격
🛡️ 대응 방법
Wiki.js를 2.5.264 버전 이상으로 업데이트하거나, 신뢰할 수 없는 사용자의 파일 업로드 기능을 비활성화함
🔧 검증 코드
출력된 버전 정보가 2.5.264 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target-ip>:<port>/api/status | grep -E 'version'