🇰🇷 한글 설명
Advantech WISE-DeviceOn Server 5.4 미만 버전의 /rmm/v1/dog/{agentId} 엔드포인트에서 저장형 XSS 취약점이 발견되었습니다. 인증된 사용자가 소프트웨어 워치독 프로세스 규칙을 추가하거나 수정할 때, 적절한 HTML 정제 없이 프로세스 이름이 저장되어 UI에서 실행될 수 있습니다. 공격자는 악성 스크립트를 주입하여 사용자의 세션을 탈취하거나 권한 없는 작업을 수행할 수 있습니다.
💡 쉬운 설명
관리자 페이지의 설정 항목에 악성 코드를 몰래 심어두는 취약점입니다. 다른 관리자가 해당 설정 화면을 열기만 해도 공격자가 심어둔 코드가 실행되어 계정을 탈취당할 수 있습니다.
🇺🇸 원문 (English)
Advantech WISE-DeviceOn Server versions prior to 5.4 contain a stored cross-site scripting (XSS) vulnerability in the /rmm/v1/dog/{agentId} endpoint. When an authenticated user adds or edits Software Watchdog process rules for an agent, the monitored process name is stored in the settings array and later rendered in the Software Watchdog UI without proper HTML sanitation. An attacker can inject malicious script into the process name, which is then executed in the browser context of users who view or interact with the affected rules, potentially enabling session compromise and unauthorized actions as the victim.
📍 영향받는 시스템
Advantech WISE-DeviceOn Server 5.4 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 소프트웨어 워치독 프로세스 이름에 악성 스크립트를 입력하여 저장하는 방식
🛡️ 대응 방법
WISE-DeviceOn Server를 최신 버전(5.4 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 5.0부터 5.4 미만의 버전 번호가 나타나면 취약한 버전이 설치된 것입니다.
curl -s -X GET http://<target_ip>/api/version | grep -E '5\.[0-4]'