🇰🇷 한글 설명
O2OA 10.0-410 버전까지의 Personal Profile Page에서 name/alias/description 인자 조작을 통한 XSS 취약점이 발견되었습니다. /x_portal_assemble_designer/jaxrs/dict/ 경로에서 사용자 입력이 안전하게 검증되지 않아 원격 공격이 가능하며, 새 버전에서 수정될 예정입니다.
💡 쉬운 설명
O2OA 프로필 설정 페이지에서 사용자 입력이 제대로 검증되지 않아 악의적인 코드를 실행할 수 있는 보안 문제입니다. 공격자가 원격으로 이를 악용하여 다른 사용자의 정보를 탈취하거나 세션을 조작할 수 있습니다.
🇺🇸 원문 (English)
A flaw has been found in O2OA up to 10.0-410. Impacted is an unknown function of the file /x_portal_assemble_designer/jaxrs/dict/ of the component Personal Profile Page. This manipulation of the argument name/alias/description causes cross site scripting. Remote exploitation of the attack is possible. The exploit has been published and may be used. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA 10.0-410 이하 버전
⚔️ 공격 벡터
/x_portal_assemble_designer/jaxrs/dict/ 엔드포인트의 name/alias/description 파라미터에 XSS 페이로드 주입
🛡️ 대응 방법
O2OA를 최신 버전으로 업그레이드하거나 보안 패치 릴리스 대기 시 해당 기능 접근 제한
🔧 검증 코드
O2OA 설치 경로의 버전 파일에서 10.0-410 이하 버전 확인 시 취약점 존재, 이상 버전이면 안전함
grep -r 'x_portal_assemble_designer' /opt/o2oa*/version.txt 2>/dev/null | grep -E '10\.0-(40[0-9]|[0-3][0-9][0-9])'