🇰🇷 한글 설명
Repetico 안드로이드 앱 1.9.7.31 버전의 웹 백엔드에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증된 원격 사용자가 객관식 문제 텍스트 필드에 조작된 입력을 삽입하여 앱 컨텍스트 내에서 임의의 자바스크립트 코드를 실행할 수 있습니다.
💡 쉬운 설명
앱의 문제 풀이 텍스트 칸에 악성 코드를 몰래 심어두면, 다른 사용자가 해당 문제를 볼 때 해커가 의도한 동작이 실행될 수 있는 보안 약점입니다. 이를 통해 사용자의 정보를 훔치거나 앱을 오작동하게 만들 수 있습니다.
🇺🇸 원문 (English)
A Cross-Site Scripting (XSS) vulnerability in the web backend for the Repetico app 1.9.7.31 for Android allows a remote authenticated user to execute arbitrary JavaScript code in the app's context via crafted input in the multiple-choice question text field.
📍 영향받는 시스템
Repetico app 1.9.7.31 for Android
⚔️ 공격 벡터
인증된 사용자가 객관식 문제 텍스트 필드에 악성 자바스크립트 코드를 입력하여 공격
🛡️ 대응 방법
앱을 최신 보안 패치가 적용된 버전으로 업데이트하고, 입력값에 대한 서버 측 검증 및 출력 시 인코딩을 강화해야 합니다.
🔧 검증 코드
명령어 결과에서 앱 패키지 존재 여부와 versionName이 1.9.7.31인지 확인하여 취약한 버전을 식별합니다.
adb shell pm list packages | grep repetico && adb shell dumpsys package com.repetico.app | grep versionName