🇰🇷 한글 설명
GeoServer의 WMS GetFeatureInfo HTML 출력 형식에서 반사형 XSS 취약점이 발견되었습니다. 공격자가 특수하게 조작된 SLD_BODY 파라미터를 통해 피해자의 브라우저에서 임의의 자바스크립트 코드를 실행할 수 있습니다. 이 문제는 GeoServer 2.25.0 버전에서 패치되었습니다.
💡 쉬운 설명
지도 데이터를 보여주는 GeoServer 웹사이트의 특정 기능에 악성 코드를 심을 수 있는 허점이 있습니다. 공격자가 만든 링크를 클릭하면 사용자의 브라우저에서 해킹 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
GeoServer is an open source server that allows users to share and edit geospatial data. Prior to version 2.25.0, a reflected cross-site scripting (XSS) vulnerability exists in the WMS GetFeatureInfo HTML output format that enables a remote attacker to execute arbitrary JavaScript code in a victim's browser through specially crafted SLD_BODY parameters. This issue has been patched in version 2.25.0.
📍 영향받는 시스템
GeoServer 2.25.0 미만 버전
⚔️ 공격 벡터
조작된 SLD_BODY 파라미터가 포함된 URL을 통한 반사형 XSS 공격
🛡️ 대응 방법
GeoServer를 2.25.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.25.0 미만이면 취약한 상태입니다.
curl -s http://localhost:8080/geoserver/version | grep -E '2\.[0-9]+'