🇰🇷 한글 설명
Resque는 Redis를 기반으로 백그라운드 작업을 생성하고 처리하는 Ruby 라이브러리입니다. /queues 경로에 악성 스크립트가 포함된 URL을 입력할 경우 발생하는 반사형 XSS 취약점이 발견되었습니다. 이 문제는 버전 2.6.0에서 패치되었습니다.
💡 쉬운 설명
웹사이트 주소 뒤에 특수한 코드를 붙여서 보내면, 사용자의 브라우저에서 악성 코드가 실행될 수 있는 보안 약점입니다. 이를 통해 공격자가 사용자의 정보를 훔치거나 웹사이트를 변조할 수 있습니다.
🇺🇸 원문 (English)
Resque is a Redis-backed Ruby library for creating background jobs, placing them on multiple queues, and processing them later. Reflected XSS issue occurs when /queues is appended with /"><svg%20onload=alert(domain)>. This issue has been patched in version 2.6.0.
📍 영향받는 시스템
Resque 버전 2.6.0 미만
⚔️ 공격 벡터
악성 스크립트가 포함된 URL을 통해 /queues 경로에 접근하는 방식
🛡️ 대응 방법
Resque 라이브러리를 최신 버전인 2.6.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Resque의 버전이 2.6.0 미만인지 확인하십시오.