🇰🇷 한글 설명
O2OA 10.0-410 이하 버전의 Personal Profile Page (/x_processplatform_assemble_designer/jaxrs/process) 엔드포인트에서 name/alias 매개변수 조작을 통한 크로스사이트스크립팅(XSS) 취약점. 원격 공격 가능하며 익스플로잇이 공개된 상태입니다.
💡 쉬운 설명
O2OA 프로그램의 프로필 페이지에서 이름 입력값을 악의적으로 조작하여 악성 스크립트를 실행할 수 있는 보안 결함입니다. 웹 링크를 통해 원격에서 공격이 가능합니다.
🇺🇸 원문 (English)
A security flaw has been discovered in O2OA up to 10.0-410. This affects an unknown part of the file /x_processplatform_assemble_designer/jaxrs/process of the component Personal Profile Page. Performing manipulation of the argument name/alias results in cross site scripting. Remote exploitation of the attack is possible. The exploit has been released to the public and may be exploited. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA up to version 10.0-410
⚔️ 공격 벡터
name 또는 alias 파라미터에 JavaScript 페이로드를 주입하여 사용자 세션에서 스크립트 실행
🛡️ 대응 방법
O2OA를 최신 버전으로 업그레이드하거나 /x_processplatform_assemble_designer/ 경로에 접근 제한 설정
🔧 검증 코드
HTTP 응답이 반환되면 취약한 엔드포인트 존재. 서비스 미실행 시 'Connection refused' 또는 'Failed to connect' 메시지 출력
curl -s 'http://localhost:8080/x_processplatform_assemble_designer/jaxrs/process?name=test' 2>/dev/null | head -c 500