🇰🇷 한글 설명
XWiki 17.3.0 이하 버전의 관리자 인터페이스 내 HTTP Meta Info 필드에서 서버 측 템플릿 주입(SSTI) 취약점이 발견되었습니다. 인증된 관리자가 Apache Velocity 템플릿 코드를 주입하여 서버 측에서 실행할 수 있으며, 이를 통해 내부 정보 노출이나 원격 코드 실행(RCE)이 가능할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 특수한 코드를 입력창에 넣으면, 서버가 이를 명령어로 오해하여 실행해버리는 문제입니다. 이로 인해 서버의 중요한 정보가 유출되거나 해커가 서버를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
XWiki through version 17.3.0 is vulnerable to Server-Side Template Injection (SSTI) in the Administration interface, specifically within the HTTP Meta Info field of the Global Preferences Presentation section. An authenticated administrator can inject crafted Apache Velocity template code, which is rendered on the server side without proper validation or sandboxing. This enables the execution of arbitrary template logic, which may expose internal server information or, in specific configurations, lead to further exploitation such as remote code execution or sensitive data leakage. The vulnerability resides in improper handling of dynamic template rendering within user-supplied configuration fields.
📍 영향받는 시스템
XWiki 17.3.0 및 그 이전 버전
⚔️ 공격 벡터
인증된 관리자가 관리 설정 페이지의 HTTP Meta Info 필드에 악의적인 Apache Velocity 코드를 삽입
🛡️ 대응 방법
XWiki를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 해당 설정 필드에 대한 입력 검증을 강화해야 합니다.
🔧 검증 코드
대상 서버의 메인 페이지에서 XWiki 버전 정보를 확인하여 취약한 버전(17.3.0 이하)인지 체크합니다.
curl -s http://<target_ip>/xwiki/bin/view/Main/ | grep -i 'XWiki' || echo 'XWiki not detected'