🇰🇷 한글 설명
O2OA 10.0-410 이하 버전의 /x_organization_assemble_personal/jaxrs/definition/calendarConfig 파일에서 toMonthViewName 매개변수의 부적절한 검증으로 인해 XSS 취약점이 발생합니다. 원격 공격자가 악의적인 JavaScript 코드를 주입하여 사용자의 세션을 탈취하거나 민감한 정보를 유출할 수 있습니다.
💡 쉬운 설명
O2OA 캘린더 설정 기능에서 입력값이 제대로 검증되지 않아 악성 코드가 실행될 수 있습니다. 인터넷을 통해 원격으로 공격 가능하며 이미 공개된 익스플로잇이 존재합니다.
🇺🇸 원문 (English)
A security flaw has been discovered in O2OA up to 10.0-410. This vulnerability affects unknown code of the file /x_organization_assemble_personal/jaxrs/definition/calendarConfig. The manipulation of the argument toMonthViewName results in cross site scripting. The attack can be launched remotely. The exploit has been released to the public and may be exploited. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA 버전 10.0-410 이하
⚔️ 공격 벡터
GET/POST 요청의 toMonthViewName 매개변수에 JavaScript 코드 주입 via /x_organization_assemble_personal/jaxrs/definition/calendarConfig
🛡️ 대응 방법
O2OA를 최신 버전으로 업그레이드하거나 toMonthViewName 입력값에 대한 HTML 이스케이프 처리 구현
🔧 검증 코드
응답에서 O2OA 버전 정보를 확인하거나 웹 인터페이스의 버전 정보로 10.0-410 이하 여부를 확인합니다.
curl -s http://target:8080/x_organization_assemble_personal/jaxrs/definition/calendarConfig?toMonthViewName=test 2>/dev/null | grep -i 'version\|o2oa' || echo 'Check application version in web interface'