🇰🇷 한글 설명
O2OA 버전 10.0-410 이하의 개인 프로필 페이지(/x_processplatform_assemble_designer/jaxrs/form)에서 name, alias, description 파라미터에 대한 입력 검증이 부족하여 발생하는 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자는 악성 스크립트를 주입하여 사용자 세션 탈취, 개인정보 유출 등의 피해를 초래할 수 있습니다.
💡 쉬운 설명
O2OA의 프로필 페이지가 입력값을 제대로 검사하지 않아 공격자가 악성 코드를 삽입할 수 있는 문제입니다. 이를 통해 사용자의 로그인 정보가 도용되거나 민감한 데이터가 노출될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was determined in O2OA up to 10.0-410. Affected by this vulnerability is an unknown functionality of the file /x_processplatform_assemble_designer/jaxrs/form of the component Personal Profile Page. This manipulation of the argument name/alias/description causes cross site scripting. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA 버전 10.0-410 이하
⚔️ 공격 벡터
원격 공격자가 /x_processplatform_assemble_designer/jaxrs/form 엔드포인트의 파라미터에 XSS 페이로드를 포함시켜 요청 전송
🛡️ 대응 방법
O2OA를 최신 패치 버전(10.0-410 이후)으로 즉시 업그레이드하거나 벤더의 보안 패치 적용
🔧 검증 코드
O2OA 설치 디렉토리를 찾은 후 해당 경로의 버전 파일 또는 JAR 파일명으로 설치된 버전 확인; 10.0-410 이하 버전이면 업그레이드 필요
find / -maxdepth 4 -type d -name "*o2oa*" 2>/dev/null | head -1