🇰🇷 한글 설명
O2OA 시스템의 개인 프로필 페이지(/x_portal_assemble_designer/jaxrs/page)에서 발견된 크로스 사이트 스크립팅(XSS) 취약점으로, 공격자가 원격에서 악의적인 스크립트를 주입할 수 있습니다. 공개된 익스플로잇이 존재하며 벤더는 신규 버전에서 수정 예정입니다.
💡 쉬운 설명
O2OA 협업 시스템의 사용자 프로필 페이지에 악의적인 코드를 삽입할 수 있는 보안 결함이 있습니다. 다른 사용자가 해당 페이지에 접속하면 자동으로 공격을 받을 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was detected in O2OA up to 10.0-410. This impacts an unknown function of the file /x_portal_assemble_designer/jaxrs/page of the component Personal Profile Page. Performing manipulation results in cross site scripting. The attack can be initiated remotely. The exploit is now public and may be used. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA 버전 10.0-410 이하 (Personal Profile Page 컴포넌트)
⚔️ 공격 벡터
원격 공격자가 /x_portal_assemble_designer/jaxrs/page 파일의 입력 검증 부족을 이용하여 XSS 페이로드 주입
🛡️ 대응 방법
O2OA를 최신 버전으로 즉시 업그레이드하거나 벤더 보안 패치 적용
🔧 검증 코드
버전이 10.0-410 이하면 취약점 노출, 410을 초과하거나 설치되지 않았으면 안전
find /opt/o2oa -type f -name "version.txt" 2>/dev/null | head -1 | xargs cat 2>/dev/null