🇰🇷 한글 설명
MQTTX v1.12.0 버전에서 MQTT 메시지 페이로드 렌더링 처리 미흡으로 인한 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 악성 HTML이나 JavaScript가 포함된 메시지를 보내면 메시지 뷰어에서 해당 스크립트가 실행되어 연결 자격 증명 탈취 등의 피해를 입을 수 있습니다.
💡 쉬운 설명
MQTTX라는 프로그램에서 메시지를 보여줄 때, 메시지 안에 숨겨진 나쁜 코드를 걸러내지 못하는 문제입니다. 해커가 보낸 메시지를 읽는 순간 사용자의 비밀번호를 훔치거나 프로그램에 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
MQTTX is an MQTT 5.0 desktop client and MQTT testing tool. A Cross-Site Scripting (XSS) vulnerability was introduced in MQTTX v1.12.0 due to improper handling of MQTT message payload rendering. Malicious payloads containing HTML or JavaScript could be rendered directly in the MQTTX message viewer. If exploited, this could allow attackers to execute arbitrary scripts in the context of the application UI — for example, attempting to access MQTT connection credentials or trigger unintended actions through script injection. This vulnerability is especially relevant when MQTTX is used with brokers in untrusted or multi-tenant environments, where message content cannot be fully controlled. This vulnerability is fixed in 1.12.1.
⚔️ 공격 벡터
신뢰할 수 없는 브로커를 통해 악성 스크립트가 포함된 MQTT 메시지를 전송하여 메시지 뷰어에서 실행 유도
🛡️ 대응 방법
MQTTX를 취약점이 해결된 v1.12.1 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 [email protected]이 출력되면 해당 취약한 버전을 사용 중인 것입니다.
npm list -g mqttx 2>/dev/null | grep -E 'mqttx@1\.12\.0'