🇰🇷 한글 설명
지리적 지도 설정의 'Attribution text' 필드에서 HTML 태그 사용이 허용되는 취약점입니다. 공격자가 'Other' 타일 제공자를 선택할 경우 악성 스크립트를 삽입할 수 있습니다.
💡 쉬운 설명
지도 정보 입력창에 일반적인 글자 대신 컴퓨터 명령어를 몰래 숨겨 넣을 수 있는 문제입니다. 이를 통해 관리자 권한을 탈취하거나 웹사이트를 변조할 위험이 있습니다.
🇺🇸 원문 (English)
Currently, geomap configuration (Administration -> General -> Geographical maps) allows using HTML in the field “Attribution text” when selected “Other” Tile provider.
📍 영향받는 시스템
Geomap 구성 기능이 포함된 특정 버전의 웹 애플리케이션 (Administration -> General -> Geographical maps)
⚔️ 공격 벡터
관리자 설정 메뉴의 'Attribution text' 필드에 악성 HTML/JavaScript 코드를 삽입하는 방식
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력 필드에 대한 HTML 필터링을 적용해야 합니다.
🔧 검증 코드
설정 파일 내에 해당 필드가 존재하며, 입력값에 HTML 태그가 그대로 저장되는지 확인합니다.
grep -r "Attribution text" /path/to/config/files 2>/dev/null