🇰🇷 한글 설명
O2OA 10.0-410 버전까지에서 개인 프로필 페이지의 /x_query_assemble_designer/jaxrs/table 엔드포인트에 XSS 취약점이 존재합니다. description, applicationName, queryName 파라미터 조작을 통해 악의적인 스크립트를 주입할 수 있으며, 원격에서 악용 가능합니다. 공개 익스플로잇이 존재하여 즉시 패치가 필요합니다.
💡 쉬운 설명
O2OA 소프트웨어의 프로필 설정 페이지에서 악의적인 웹 코드를 삽입할 수 있는 보안 구멍입니다. 공격자가 원격으로 사용자 정보를 탈취하거나 악의적인 행동을 수행할 수 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in O2OA up to 10.0-410. This affects an unknown function of the file /x_query_assemble_designer/jaxrs/table of the component Personal Profile Page. This manipulation of the argument description/applicationName/queryName causes cross site scripting. The attack may be initiated remotely. The exploit has been made available to the public and could be exploited. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA up to version 10.0-410
⚔️ 공격 벡터
XSS injection via description/applicationName/queryName parameters in /x_query_assemble_designer/jaxrs/table endpoint
🛡️ 대응 방법
O2OA를 10.0-411 이상의 최신 버전으로 업그레이드하고 입력 검증 및 XSS 방어 필터를 적용합니다.
🔧 검증 코드
명령어 결과가 10.0-410 이하면 취약하며, 10.0-411 이상 또는 결과 없음(미설치)이면 안전합니다.
grep -i version /opt/o2oa/base/define.xml 2>/dev/null | grep -oE '[0-9]+\.[0-9]+-[0-9]+'