🇰🇷 한글 설명
Frappe LMS 2.35.0의 Course Handler 컴포넌트에서 Description 인자 조작으로 인한 XSS 취약점입니다. 원격 공격이 가능하며 공개 익스플로잇이 존재하므로 즉시 업그레이드가 필요합니다.
💡 쉬운 설명
Frappe LMS의 강좌 설명 입력란에 악성 코드를 삽입할 수 있는 보안 결함입니다. 사용자가 이를 조회할 때 브라우저에서 자동으로 실행되어 개인정보 탈취 등의 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was determined in Frappe LMS 2.35.0. This affects an unknown function of the component Course Handler. Executing manipulation of the argument Description can lead to cross site scripting. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized. It is suggested to upgrade the affected component. The vendor was informed early about a total of four security issues and confirmed that those have been fixed. However, the release notes on GitHub do not mention them.
📍 영향받는 시스템
Frappe LMS 2.35.0 이하 버전
⚔️ 공격 벡터
Course Handler의 Description 필드에 XSS 페이로드 주입으로 원격 코드 실행
🛡️ 대응 방법
Frappe LMS를 최신 보안 패치가 적용된 버전으로 업그레이드
🔧 검증 코드
Frappe LMS 설치 여부 및 버전 확인. 2.35.0 버전이 설치되어 있으면 즉시 업그레이드 필요
pip list 2>/dev/null | grep -i frappe-lms || dpkg -l 2>/dev/null | grep -i frappe