🇰🇷 한글 설명
Snipe-IT 웹 기반 자산관리 시스템 v8.3.0부터 v8.3.1까지에서 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 로그인만 가능한 최소 권한의 인증된 공격자가 'Name'과 'Surname' 필드에 임의의 자바스크립트 코드를 삽입할 수 있으며, 권한이 있는 사용자가 'Activity Report'나 수정된 프로필을 조회할 때 해당 코드가 실행됩니다. 프로필의 'Display Name'이 설정되지 않은 경우에 악용이 가능하며, v8.3.2에서 수정되었습니다.
💡 쉬운 설명
일반 사용자 계정을 가진 사람이 자신의 이름 입력란에 악성 스크립트를 넣을 수 있습니다. 관리자가 해당 프로필이나 활동 보고서를 열면 그 스크립트가 관리자의 브라우저에서 실행됩니다.
🇺🇸 원문 (English)
Cross-Site Scripting vulnerability in the Snipe-IT web-based asset management system v8.3.0 to up and including v8.3.1 allows authenticated attacker with lowest privileges sufficient only to log in, to inject arbitrary JavaScript code via "Name" and "Surname" fields. The JavaScript code is executed whenever "Activity Report" or modified profile is viewed directly by any user with sufficient permissions. Successful exploitation of this issue requires that the profile's "Display Name" is not set. The vulnerability is fixed in v8.3.2.
📍 영향받는 시스템
Snipe-IT v8.3.0 ~ v8.3.1 (v8.3.2에서 수정됨)
⚔️ 공격 벡터
로그인 가능한 저권한 계정으로 Name/Surname 필드에 악성 JavaScript를 삽입한 뒤, 권한 있는 사용자가 해당 데이터를 조회하도록 유도
🛡️ 대응 방법
Snipe-IT를 v8.3.2 이상으로 업그레이드하고, 업그레이드 전까지 Display Name 설정 및 사용자 입력값 검증을 강화
🔧 검증 코드
출력된 버전이 8.3.0 또는 8.3.1이면 취약하며, 8.3.2 이상이면 수정된 버전입니다. 결과가 없으면 설치 경로를 확인하세요.
grep -rE "'version'|APP_VERSION" /var/www/html/snipe-it/config/app.php 2>/dev/null | head -n 1