🇰🇷 한글 설명
Resque는 Redis를 기반으로 하는 Ruby 백그라운드 작업 라이브러리입니다. resque-web의 특정 경로에서 반사형 XSS(Cross-Site Scripting) 취약점이 발견되었으며, 이는 악의적인 스크립트 실행을 허용할 수 있습니다.
💡 쉬운 설명
웹 관리 화면의 특정 주소에 악성 코드를 심어 보내면, 관리자의 브라우저에서 해당 코드가 실행될 수 있는 보안 약점입니다. 이를 통해 공격자가 관리자의 쿠키 정보를 훔치거나 세션을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
Resque is a Redis-backed Ruby library for creating background jobs, placing them on multiple queues, and processing them later. The following paths in resque-web have been found to be vulnerable to reflected XSS: "/failed/?class=<script>alert(document.cookie)</script>" and "/queues/><img src=a onerror=alert(document.cookie)>". This issue has been patched in version 2.2.1.
📍 영향받는 시스템
Resque (resque-web 포함) 2.2.1 미만 버전
⚔️ 공격 벡터
조작된 URL 파라미터를 통해 악성 스크립트를 포함한 HTTP 요청을 전송하는 방식
🛡️ 대응 방법
Resque를 최신 보안 패치가 적용된 버전 2.2.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 resque의 버전이 2.2.1보다 낮은지 확인하십시오.