🇰🇷 한글 설명
Data Illusion Zumbrunn NGSurvey Enterprise Edition 3.6.4 버전의 설문 내용 및 관리 기능에서 저장형 XSS(CWE-79) 취약점이 발견되었습니다. 설문 생성 또는 편집 권한을 가진 인증된 사용자가 적절한 출력 인코딩 없이 렌더링되는 조작된 설문 내용을 통해 다른 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다. 이를 통해 세션 정보를 탈취하거나 사용자를 대신하여 권한 없는 동작을 수행할 수 있습니다.
💡 쉬운 설명
설문을 만들 수 있는 권한을 가진 사람이 악성 코드가 담긴 설문을 작성하면, 다른 사용자가 그 설문을 볼 때 해킹을 당할 수 있는 문제입니다. 해커는 이 방법을 통해 사용자의 로그인 정보를 훔치거나 사용자인 척 행동할 수 있습니다.
🇺🇸 원문 (English)
Stored cross-site scripting (XSS, CWE-79) in the survey content and administration functionality in Data Illusion Zumbrunn NGSurvey Enterprise Edition 3.6.4 on all supported platforms (
on Windows and Linux servers ) allows authenticated remote users with survey creation or edit privileges to execute arbitrary JavaScript in other users’ browsers, steal session information and perform unauthorized actions on their behalf via crafted survey content that is rendered without proper output encoding.
📍 영향받는 시스템
Data Illusion Zumbrunn NGSurvey Enterprise Edition 3.6.4 (Windows 및 Linux)
⚔️ 공격 벡터
권한을 가진 사용자가 악성 자바스크립트가 포함된 설문 콘텐츠를 삽입하여 저장하는 방식
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력값 검증 및 출력 인코딩 설정을 강화해야 합니다.
🔧 검증 코드
명령어 결과에 해당 소프트웨어의 취약한 버전 정보가 나타나면 보안 업데이트가 필요한 상태입니다.
curl -s http://<target_ip>/<survey_path> | grep -i 'NGSurvey Enterprise Edition 3.6.4'