🇰🇷 한글 설명
XWiki 플랫폼에서 사용되는 XML 라이브러리인 xwiki-commons-xml의 HTML Sanitizer에서 발생하는 취약점입니다. 잘못된 데이터 속성을 통해 임의의 HTML 코드가 삽입될 수 있으며, 이를 통해 교차 사이트 스크립팅(XSS) 공격이 가능합니다. 이 문제는 XWiki 14.10.4 및 15.0 RC1 버전에서 데이터 속성에 허용된 문자만 포함되도록 수정되었습니다.
💡 쉬운 설명
웹사이트의 보안 필터가 특정 속성을 제대로 검사하지 못해 발생하는 문제입니다. 공격자가 악성 코드를 웹페이지에 심어 사용자의 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
`org.xwiki.commons:xwiki-commons-xml` is an XML library used by the open-source wiki platform XWiki. The HTML sanitizer, introduced in version 14.6-rc-1, allows the injection of arbitrary HTML code and thus cross-site scripting via invalid data attributes. This vulnerability does not affect restricted cleaning in HTMLCleaner as there attributes are cleaned and thus characters like `/` and `>` are removed in all attribute names. This problem has been patched in XWiki 14.10.4 and 15.0 RC1 by making sure that data attributes only contain allowed characters. There are no known workarounds apart from upgrading to a version including the fix.
📍 영향받는 시스템
XWiki (14.6-rc-1 이상 ~ 14.10.4 미만 및 15.0 RC1 미만 버전)
⚔️ 공격 벡터
HTML Sanitizer를 우회하는 잘못된 데이터 속성을 삽입하여 악성 스크립트 실행
🛡️ 대응 방법
XWiki를 14.10.4 또는 15.0 RC1 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
출력된 라이브러리 파일명 또는 경로를 통해 현재 설치된 xwiki-commons-xml의 버전을 확인하십시오.
grep -r "xwiki-commons-xml" /path/to/xwiki/lib/ 2>/dev/null || echo 'Library not found'