🇰🇷 한글 설명
O2OA 버전 10.0-410 이하의 Personal Profile Page 컴포넌트에서 /x_program_center/jaxrs/script 파일 처리 중 name/alias/description 파라미터에 대한 입력값 검증 부재로 인한 크로스사이트스크립팅(XSS) 취약점이다. 원격 공격자는 악의적인 스크립트를 주입하여 사용자 세션 탈취, 민감한 정보 유출, 또는 악성 동작 수행이 가능하다.
💡 쉬운 설명
O2OA 소프트웨어의 사용자 프로필 페이지에서 입력값을 조작하면 웹사이트에 악성 스크립트를 삽입할 수 있는 보안 문제입니다. 영향받는 버전을 사용하는 사용자가 악의적인 링크를 클릭하면 계정 해킹이나 정보 유출 위험에 노출될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was detected in O2OA up to 10.0-410. This issue affects some unknown processing of the file /x_program_center/jaxrs/script of the component Personal Profile Page. The manipulation of the argument name/alias/description results in cross site scripting. The attack may be launched remotely. The exploit is now public and may be used. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA 10.0-410 이하 모든 버전
⚔️ 공격 벡터
Personal Profile Page의 name/alias/description 필드에 JavaScript 코드를 포함한 XSS 페이로드 전송
🛡️ 대응 방법
O2OA를 최신 버전으로 업그레이드하거나 벤더에서 제공하는 패치 적용
🔧 검증 코드
해당 엔드포인트의 응답 확인으로 O2OA 설치 여부 판단. 버전 확인을 위해서는 추가 정보 수집(서버 응답 헤더, 페이지 소스 등) 필요
curl -s 'http://target:port/x_program_center/jaxrs/script' 2>/dev/null | head -20