🇰🇷 한글 설명
ClipBucket v5의 Collection 태그 기능에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증된 일반 사용자가 HTML 또는 JavaScript가 포함된 태그를 생성하면, 해당 태그가 컬렉션 상세 및 태그 목록 페이지에서 이스케이프 처리 없이 렌더링됩니다. 이로 인해 해당 페이지를 방문하는 모든 사용자의 브라우저에서 임의의 자바스크립트가 실행될 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 악성 코드가 담긴 태그를 만들면, 그 태그를 보는 다른 모든 사람의 브라우저에서 해킹 코드가 몰래 실행될 수 있는 문제입니다. 이를 통해 사용자의 정보를 훔치거나 웹사이트를 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
ClipBucket v5 is an open source video sharing platform. Versions 5.5.2-#147 and below contain a stored Cross-Site Scripting (XSS) vulnerability in ClipBucket’s Collection tags feature. An authenticated normal user can create a tag containing HTML or JavaScript, which is later rendered unescaped in collection detail and tag-list pages. As a result, arbitrary JavaScript executes in the browsers of all users who view the affected pages. This issue is fixed in version 5.5.2-#152.
📍 영향받는 시스템
ClipBucket v5.5.2-#147 및 그 이하 버전
⚔️ 공격 벡터
인증된 사용자가 Collection 태그에 악성 스크립트를 삽입하여 저장하는 방식
🛡️ 대응 방법
ClipBucket를 버전 5.5.2-#152 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 147 이하이면 취약한 상태이며, 152 이상이면 안전합니다.
curl -s http://<target_ip>/version.php | grep -E '5.5.2-#([0-9]+)'