🇰🇷 한글 설명
Flatboard 3.2에는 인증된 관리자가 포럼 정보 필드에 악성 스크립트를 삽입할 수 있는 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자가 삽입한 JavaScript는 다른 사용자가 해당 포럼을 조회할 때 실행되어 세션 쿠키 탈취 및 클라이언트 측 스크립트 실행이 가능합니다.
💡 쉬운 설명
게시판 관리 화면에 악성 코드를 심어두면, 다른 사용자가 그 게시판을 볼 때 몰래 실행됩니다. 이 코드로 사용자의 로그인 정보가 빼앗길 수 있습니다.
🇺🇸 원문 (English)
Flatboard 3.2 contains a stored cross-site scripting vulnerability that allows authenticated administrators to inject malicious scripts in forum information fields. Attackers can insert JavaScript payloads that execute when other users view the forum, potentially stealing session cookies and executing client-side scripts.
📍 영향받는 시스템
Flatboard 3.2 이하 버전
⚔️ 공격 벡터
인증된 관리자 권한으로 포럼 정보 필드에 JavaScript 페이로드를 저장한 뒤, 다른 사용자의 페이지 조회 시 스크립트가 실행됨
🛡️ 대응 방법
Flatboard를 최신 패치 버전으로 업그레이드하고, 사용자 입력값에 대한 HTML 이스케이프 및 Content-Security-Policy 적용
🔧 검증 코드
출력된 버전 정보가 3.2 이하이면 취약한 버전이며, 3.2보다 높은 버전이 표시되면 취약점이 수정된 것으로 판단합니다.
grep -rn "version" /var/www/html/flatboard/index.php 2>/dev/null | head -n 5