🇰🇷 한글 설명
Emlog 2.5.21 이하 버전에서 메일 템플릿 설정 시 HTML 템플릿 주입을 통한 저장형 XSS 취약점이 존재합니다. 공격자가 악성 페이로드를 저장하면 인증된 관리자가 설정 페이지를 방문할 때 자바스크립트가 실행되어 세션 탈취 및 관리자 권한 탈취가 가능합니다.
💡 쉬운 설명
웹사이트 관리 도구의 메일 설정 칸에 악성 코드를 몰래 심어두는 공격입니다. 관리자가 해당 설정을 확인하는 순간 해커가 관리자의 권한을 통째로 뺏을 수 있습니다.
🇺🇸 원문 (English)
Emlog is an open source website building system. In versions 2.5.21 and below, an HTML template injection allows stored cross‑site scripting (XSS) via the mail template settings. Once a malicious payload is saved, any subsequent visit to the settings page in an authenticated admin context will execute attacker‑controlled JavaScript, enabling session/token theft and full admin account takeover. This issue is fixed in version 2.5.22.
📍 영향받는 시스템
Emlog 2.5.21 및 그 이하 모든 버전
⚔️ 공격 벡터
메일 템플릿 설정 메뉴를 통한 HTML 템플릿 주입 및 저장형 XSS
🛡️ 대응 방법
Emlog 버전을 2.5.22 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 2.5.21 이하의 버전 번호가 포함되어 있다면 취약한 상태입니다.
php -r 'echo "Emlog Version Check";' | grep -i '2.5.2[0-1]'