🇰🇷 한글 설명
O2OA 10.0-410 버전 이하의 Personal Profile Page 구성 요소에서 취약점이 발견되었습니다. /x_organization_assemble_control/jaxrs/person/ 경로의 Description 인자를 조작하여 원격에서 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
사용자의 프로필 정보 중 설명(Description) 칸에 악성 코드를 삽입하여 다른 사용자의 브라우저에서 실행되게 만드는 공격입니다. 공격자는 이를 통해 사용자의 정보를 훔치거나 웹사이트를 변조할 수 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in O2OA up to 10.0-410. This affects an unknown part of the file /x_organization_assemble_control/jaxrs/person/ of the component Personal Profile Page. Executing manipulation of the argument Description can lead to cross site scripting. The attack can be launched remotely. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA 10.0-410 이하 버전
⚔️ 공격 벡터
원격에서 Description 인자에 악성 스크립트를 삽입하여 실행하는 방식
🛡️ 대응 방법
벤더가 제공하는 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
대상 시스템의 응답 헤더나 페이지 소스에서 O2OA 버전을 확인하여 취약 버전 여부를 판단합니다.
curl -s http://<target_ip>/<context_path>/ | grep -i 'O2OA' || echo 'Version unknown'