🇰🇷 한글 설명
Resque 2.1.0 미만 버전의 resque-web에서 queues 엔드포인트의 current_queue 파라미터를 통해 반사형 XSS 취약점이 발생합니다. 이 취약점은 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행할 수 있게 합니다. 해당 문제는 Resque 2.1.0 버전에서 패치되었습니다.
💡 쉬운 설명
웹 관리 화면의 주소창에 특수하게 조작된 코드를 넣어 실행하면, 관리자의 브라우저에서 해킹 스크립트가 작동할 수 있는 문제입니다. 이를 통해 관리자의 세션을 탈취하거나 원치 않는 동작을 유도할 수 있습니다.
🇺🇸 원문 (English)
Resque (pronounced like "rescue") is a Redis-backed library for creating background jobs, placing those jobs on multiple queues, and processing them later. resque-web in resque versions before 2.1.0 are vulnerable to reflected XSS through the current_queue parameter in the path of the queues endpoint. This issue has been patched in version 2.1.0.
📍 영향받는 시스템
Resque versions before 2.1.0 (resque-web 포함)
⚔️ 공격 벡터
queues 엔드포인트의 current_queue URL 파라미터에 악성 스크립트를 삽입하여 공격
🛡️ 대응 방법
Resque 버전을 2.1.0 이상으로 업데이트
🔧 검증 코드
명령어 결과에 resque 버전이 2.1.0 미만으로 표시되면 취약한 상태입니다.
gem list resque | grep -E 'resque \([0-1]\\.[0-9]\\)'