🇰🇷 한글 설명
Microweber 2.0.15에는 인증된 공격자가 사용자 프로필 필드에 악성 스크립트를 삽입할 수 있는 저장형 XSS 취약점이 존재합니다. 공격자가 이름 필드에 입력한 스크립트는 다른 사용자가 프로필을 조회할 때 실행되며, 세션 쿠키 탈취와 임의 JavaScript 실행이 가능합니다.
💡 쉬운 설명
회원이 자기 프로필 이름란에 악성 코드를 넣어두면, 다른 사람이 그 프로필을 볼 때 코드가 실행됩니다. 이 코드로 로그인 정보가 빼앗길 수 있습니다.
🇺🇸 원문 (English)
Microweber 2.0.15 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts into user profile fields. Attackers can input script payloads in the first name field that will execute when the profile is viewed by other users, potentially stealing session cookies and executing arbitrary JavaScript.
📍 영향받는 시스템
Microweber CMS 2.0.15 버전
⚔️ 공격 벡터
인증된 사용자가 프로필 이름 필드에 스크립트 페이로드를 저장하고, 다른 사용자가 해당 프로필을 열람할 때 실행됨
🛡️ 대응 방법
Microweber를 최신 버전으로 업그레이드하고, 사용자 입력값에 대한 출력 인코딩 및 입력 검증을 적용
🔧 검증 코드
결과에 2.0.15가 출력되면 취약 버전이 설치된 것이며, 출력이 없으면 해당 경로에 취약 버전이 없는 것입니다. 설치 경로가 다르면 경로를 수정해 실행하세요.
grep -rn 'version' /var/www/html/microweber/composer.json 2>/dev/null | grep -E '2\.0\.15'