🇰🇷 한글 설명
Gogs 0.14.0+dev 이하 버전에서 public/plugins/ 디렉토리의 구 버전 pdfjs-1.4.20 컴포넌트의 취약점으로 인해 저장된 XSS 취약점이 발생합니다. 공격자가 악의적인 JavaScript 코드를 저장하면 다른 사용자 브라우저에서 실행되며, 0.13.3 버전에서 패치됨.
💡 쉬운 설명
Gogs의 PDF 뷰어 프로그램이 오래되어 악의적인 코드가 저장되고 실행될 수 있습니다. 사용자가 해당 페이지를 방문하면 공격자의 코드가 자신의 정보를 빼앗을 수 있습니다.
🇺🇸 원문 (English)
Gogs is an open source self-hosted Git service. In application version 0.14.0+dev and prior, there is a stored cross-site scripting (XSS) vulnerability present in Gogs, which allows client-side Javascript code execution. The vulnerability is caused by the usage of a vulnerable and outdated component: pdfjs-1.4.20 under public/plugins/. This issue has been fixed for gogs.io/gogs in version 0.13.3.
📍 영향받는 시스템
Gogs 0.14.0+dev 이하 (0.13.3 제외)
⚔️ 공격 벡터
공격자가 저장된 XSS 페이로드를 Gogs에 삽입하면 페이지 방문 사용자의 브라우저에서 자동 실행
🛡️ 대응 방법
Gogs를 0.13.3 이상으로 업그레이드 또는 pdfjs 컴포넌트를 최신 버전으로 교체
🔧 검증 코드
public/plugins에서 pdfjs 파일이 발견되고 버전이 0.10.0~0.14.0 범위면 취약 시스템
find /path/to/gogs/public/plugins -name 'pdfjs*' 2>/dev/null | xargs ls -la && grep -i version /path/to/gogs/VERSION 2>/dev/null | grep -E '0\.(1[0-4]|[0-9])\.0'