🇰🇷 한글 설명
XWiki 플랫폼의 Flamingo Skin Resources 및 Web Templates에서 반사형 XSS 취약점이 발견되었습니다. 삭제 확인 메시지에서 '아니오' 버튼을 클릭할 때 공격자가 삽입한 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 삭제 확인창에서 '아니오' 버튼을 누를 때 해커가 심어놓은 악성 코드가 몰래 실행될 수 있는 문제입니다. 이를 통해 사용자의 정보를 훔치거나 원치 않는 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
XWiki Platform is a generic wiki platform offering runtime services for applications built on top of it. Versions 6.2-milestone-1 through 16.10.9 and 17.0.0-rc-1 through 17.4.1 of both XWiki Platform Flamingo Skin Resources and XWiki Platform Web Templates are vulnerable to a reflected XSS attack through a deletion confirmation message. The attacker-supplied script is executed when the victim clicks the "No" button. This issue is fixed in versions 16.10.10 and 17.4.2 of both XWiki Platform Flamingo Skin Resources and XWiki Platform Web Templates.
📍 영향받는 시스템
XWiki Platform Flamingo Skin Resources & Web Templates (6.2-milestone-1 ~ 16.10.9, 17.0.0-rc-1 ~ 17.4.1)
⚔️ 공격 벡터
삭제 확인 메시지의 'No' 버튼에 포함된 악성 스크립트를 통한 반사형 XSS 공격
🛡️ 대응 방법
XWiki Platform Flamingo Skin Resources 및 Web Templates를 16.10.10 또는 17.4.2 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 사용 중인 XWiki 구성 요소의 버전이 취약한 범위(16.10.9 이하 또는 17.4.1 이하)에 있는지 확인합니다.
curl -s http://<target-ip>/xwiki/bin/view/Main/ | grep -E 'version|Flamingo|Web Templates'