🇰🇷 한글 설명
Piccolo Admin의 미디어 파일 업로드 기능에서 SVG 파일 타입을 기본값으로 허용하고 있어 XSS 취약점이 발생합니다. 공격자가 악의적인 SVG 파일을 업로드하면 해당 파일이 로드될 때 임의의 코드 실행을 통해 관리 페이지에 대한 무단 접근을 할 수 있습니다. 이 취약점은 1.3.2 버전에서 수정되었습니다.
💡 쉬운 설명
Piccolo Admin의 그림 업로드 기능에서 보안 검증이 부족하여 특별히 만든 SVG 파일을 통해 관리자 페이지를 해킹할 수 있습니다. 업로드된 파일이 웹에서 열릴 때 숨겨진 악의적인 명령이 실행되는 방식입니다.
🇺🇸 원문 (English)
Piccolo Admin is an admin interface/content management system for Python, built on top of Piccolo. Piccolo's admin panel allows media files to be uploaded. As a default, SVG is an allowed file type for upload. An attacker can upload an SVG which when loaded can allow arbitrary access to the admin page. This vulnerability was patched in version 1.3.2.
📍 영향받는 시스템
Piccolo Admin < 1.3.2
⚔️ 공격 벡터
악의적인 SVG 파일을 미디어 업로드로 제출하고 로드 시 내장된 XSS 페이로드 실행
🛡️ 대응 방법
Piccolo Admin을 1.3.2 이상으로 업그레이드하거나 SVG 파일 업로드 비활성화
🔧 검증 코드
Version이 1.3.2 이상이면 패치됨, 미만이면 취약 상태
pip show piccolo-admin | grep Version