🇰🇷 한글 설명
GLPI 자산 및 IT 관리 소프트웨어에서 발생하는 반사형 XSS 취약점입니다. 인증되지 않은 공격자가 관리자에게 악성 링크를 전달하여, 관리자가 디버그 바를 통해 탐색할 경우 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
해커가 만든 가짜 링크를 관리자가 클릭하면, 관리자의 권한을 이용해 악성 동작을 수행할 수 있는 보안 약점입니다. 관리자가 특정 디버그 메뉴를 사용할 때만 공격이 성공합니다.
🇺🇸 원문 (English)
GLPI is a Free Asset and IT Management Software package, Data center management, ITIL Service Desk, licenses tracking and software auditing. An unauthenticated user can provide a malicious link to a GLPI administrator in order to exploit a reflected XSS vulnerability. The XSS will only trigger if the administrator navigates through the debug bar. This issue has been patched in version 10.0.13.
📍 영향받는 시스템
GLPI 10.0.13 미만 버전
⚔️ 공격 벡터
관리자에게 조작된 URL 링크를 클릭하도록 유도하는 사회 공학적 공격
🛡️ 대응 방법
GLPI를 최신 보안 패치가 적용된 10.0.13 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 10.0.13보다 낮은지 확인하여 취약 여부를 판단합니다.
curl -s http://<target-ip>/glpi/version.php | grep -E '10\.[0-9]+'