🇰🇷 한글 설명
O2OA 10.0-410 버전 이하에서 개인 프로필 페이지의 /x_cms_assemble_control/jaxrs/script 파일 내 알려지지 않은 함수에 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. name, alias, description 파라미터 조작을 통해 원격으로 악의적인 스크립트를 주입할 수 있으며, 이미 공개된 익스플로잇이 사용될 수 있습니다.
💡 쉬운 설명
O2OA 소프트웨어의 프로필 페이지에서 사용자 입력이 제대로 검증되지 않아 악의적인 웹 코드를 심을 수 있는 취약점입니다. 공격자가 다른 사용자를 속여 악성 링크를 클릭하도록 하면 정보 탈취가 가능합니다.
🇺🇸 원문 (English)
A vulnerability was found in O2OA up to 10.0-410. Affected is an unknown function of the file /x_cms_assemble_control/jaxrs/script of the component Personal Profile Page. The manipulation of the argument name/alias/description results in cross site scripting. The attack can be launched remotely. The exploit has been made public and could be used. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA 버전 10.0-410 이하
⚔️ 공격 벡터
개인 프로필 페이지의 name/alias/description 파라미터에 자바스크립트 코드 삽입을 통한 원격 XSS 공격
🛡️ 대응 방법
O2OA를 최신 버전으로 업데이트하거나 공급업체의 보안 패치 적용
🔧 검증 코드
O2OA 서버의 /x_cms_assemble_control/jaxrs/script 엔드포인트 접근 가능 여부 및 버전 정보를 확인합니다.
curl -s 'http://target:8080/x_cms_assemble_control/jaxrs/script' | grep -i 'version\|o2oa' || echo '접근 불가'