🇰🇷 한글 설명
eLabFTW는 연구실용 오픈 소스 전자 연구 노트입니다. 이 애플리케이션은 업로드된 SVG 파일을 인라인으로 제공하는데, SVG가 활성 콘텐츠를 지원하기 때문에 공격자가 악성 스크립트가 포함된 SVG를 업로드하여 저장형 XSS 공격을 수행할 수 있습니다. 피해자가 해당 파일을 열면 세션 탈취, 데이터 유출 또는 사용자 권한을 도용한 동작이 발생할 수 있습니다.
💡 쉬운 설명
이미지 파일인 SVG에 몰래 악성 코드를 숨겨 업로드하는 방식의 공격입니다. 사용자가 이 이미지를 보는 순간 해커가 사용자의 계정을 훔치거나 정보를 빼갈 수 있습니다.
🇺🇸 원문 (English)
eLabFTW is an open source electronic lab notebook for research labs. The application served uploaded SVG files inline. Because SVG supports active content, an attacker could upload a crafted SVG that executes script when viewed, resulting in stored XSS under the application origin. A victim who opens the SVG URL or any page embedding it could have their session hijacked, data exfiltrated, or actions performed on their behalf. This vulnerability is fixed n 5.3.0.
📍 영향받는 시스템
eLabFTW 5.3.0 미만 버전
⚔️ 공격 벡터
악성 스크립트가 포함된 SVG 파일을 업로드하여 사용자가 이를 열람하도록 유도
🛡️ 대응 방법
eLabFTW를 최신 버전인 5.3.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 5.3.0 이상인지 확인하여 취약점 해결 여부를 판단합니다.
curl -s http://<target-url>/api/version | grep -E '5\.[3-9]\.'