🇰🇷 한글 설명
changedetection.io의 notification_urls 파라미터에서 입력값이 적절히 처리되지 않아 발생하는 반사형 XSS 취약점입니다. 공격자가 악성 스크립트를 주입하여 사용자의 브라우저에서 실행될 수 있으며, 이는 버전 0.45.22에서 해결되었습니다.
💡 쉬운 설명
웹사이트 변경을 감지하는 서비스의 특정 입력창에 악성 코드를 넣으면, 이를 확인하는 사용자의 컴퓨터에서 해킹 코드가 실행될 수 있는 문제입니다. 서비스 버전을 최신으로 업데이트하면 안전합니다.
🇺🇸 원문 (English)
changedetection.io is a free open source web page change detection, website watcher, restock monitor and notification service. In affected versions Input in parameter notification_urls is not processed resulting in javascript execution in the application. A reflected XSS vulnerability happens when the user input from a URL or POST data is reflected on the page without being stored, thus allowing the attacker to inject malicious content. This issue has been addressed in version 0.45.22. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
changedetection.io 0.45.22 미만 버전
⚔️ 공격 벡터
URL 파라미터 또는 POST 데이터를 통한 악성 자바스크립트 주입 (Reflected XSS)
🛡️ 대응 방법
changedetection.io를 버전 0.45.22 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 이미지 태그 버전이 0.45.22 이상인지 확인하여 취약 여부를 판단합니다.
docker inspect changedetection/changedetection.io --format='{{.Config.Image}}' | grep -E '0.45.22'