🇰🇷 한글 설명
Emlog 웹사이트 구축 시스템 2.5.22 이하 버전에서 인증된 원격 공격자가 파일 업로드 기능을 통해 임의의 웹 스크립트나 HTML을 삽입할 수 있는 XSS 취약점이 발견되었습니다. 공격자는 JavaScript 코드가 포함된 .svg 파일을 업로드하여 이를 실행시킬 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 악성 코드가 담긴 이미지 파일을 올려서 다른 사용자의 정보를 훔칠 수 있는 문제입니다. 이미지 파일 안에 몰래 실행되는 명령어를 숨겨서 공격하는 방식입니다.
🇺🇸 원문 (English)
Emlog is an open source website building system. A cross-site scripting (XSS) vulnerability in emlog up to and including version 2.5.22 allows authenticated remote attackers to inject arbitrary web script or HTML via the file upload functionality. As an authenticated user it is possible to upload .svg file that contains JavaScript code that is later being executed. Commit 052f9c4226b2c0014bcd857fec47677340b185b1 fixes the issue.
📍 영향받는 시스템
Emlog version 2.5.22 및 그 이전 모든 버전
⚔️ 공격 벡터
인증된 사용자가 JavaScript가 포함된 .svg 파일을 업로드하여 실행 유도
🛡️ 대응 방법
커밋 052f9c4226b2c0014bcd857fec47677340b185b1이 적용된 최신 버전으로 업데이트
🔧 검증 코드
설치된 Emlog의 버전이 2.5.22 이하인지 확인하여 취약 여부를 판단합니다.
grep -r "version" /path/to/emlog/config/file 2>/dev/null || echo 'Check emlog version manually'