🇰🇷 한글 설명
EMLOG Pro 2.5.21 및 이전 버전의 'Twitter' 기능에서 저장형 XSS 취약점이 발견되었습니다. 권한을 가진 사용자가 악성 자바스크립트 코드를 삽입하여 서버에 저장할 수 있으며, 관리자를 포함한 다른 사용자가 해당 게시물을 볼 때 코드가 실행됩니다.
💡 쉬운 설명
게시판에 몰래 악성 코드를 심어두는 공격입니다. 관리자가 해당 글을 클릭하기만 해도 해커가 의도한 동작이 관리자의 브라우저에서 실행될 수 있습니다.
🇺🇸 원문 (English)
Emlog is an open source website building system. A stored Cross-Site Scripting (XSS) vulnerability exists in the "Twitter"feature of EMLOG Pro 2.5.21 and below. An authenticated user with privileges to post a "Twitter" message can inject arbitrary JavaScript code. The malicious script is stored on the server and gets executed in the browser of any user, including administrators, when they click on the malicious post to view it. This issue does not currently have a fix.
📍 영향받는 시스템
EMLOG Pro 2.5.21 및 그 이하 모든 버전
⚔️ 공격 벡터
인증된 사용자가 'Twitter' 기능을 통해 악성 스크립트가 포함된 게시물을 작성하여 서버에 저장함
🛡️ 대응 방법
현재 공식 패치가 없으므로, 입력값 검증 로직을 직접 구현하거나 해당 기능을 비활성화해야 합니다.
🔧 검증 코드
설치된 EMLOG Pro의 버전이 2.5.21 이하인지 확인하여 취약 여부를 판단합니다.
grep -r "EMLOG Pro" /path/to/emlog/directory | grep -E '2\[\.\d+\]'