🇰🇷 한글 설명
O2OA 10.0-410 이하 버전의 개인 프로필 페이지(/x_query_assemble_designer/jaxrs/stat)에서 name, alias, description, applicationName 매개변수에 대한 부정확한 입력 검증으로 인해 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 공격자가 악의적인 스크립트를 포함한 요청을 원격으로 전송하여 사용자의 브라우저에서 임의의 JavaScript 코드를 실행할 수 있습니다.
💡 쉬운 설명
O2OA 애플리케이션의 프로필 페이지에서 사용자 입력값이 제대로 검사되지 않아 악성 코드를 삽입할 수 있는 보안 문제입니다. 공격자가 특수하게 제작된 링크를 사용자에게 보내면 사용자의 개인정보나 로그인 정보를 도용할 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in O2OA up to 10.0-410. The impacted element is an unknown function of the file /x_query_assemble_designer/jaxrs/stat of the component Personal Profile Page. The manipulation of the argument name/alias/description/applicationName results in cross site scripting. The attack can be launched remotely. The exploit has been released to the public and may be exploited. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA up to version 10.0-410
⚔️ 공격 벡터
POST/GET request to /x_query_assemble_designer/jaxrs/stat with malicious JavaScript payload in name, alias, description, or applicationName parameters
🛡️ 대응 방법
O2OA를 최신 버전으로 업그레이드하거나 입력값 검증 및 출력 인코딩 패치 적용
🔧 검증 코드
응답에 스크립트 태그가 그대로 반환되면 XSS 취약점 존재를 의미하며, HTML 인코딩되어 반환되면 패치되었음을 나타냅니다.
curl -s 'http://target:port/x_query_assemble_designer/jaxrs/stat' -d 'name=<script>alert(1)</script>' 2>/dev/null | grep -i script