🇰🇷 한글 설명
O2OA 10.0-410 이하 버전의 Personal Profile Page 기능에서 /x_query_assemble_designer/jaxrs/statement 경로의 description/queryName 파라미터가 적절히 검증되지 않아 XSS 취약점이 발생합니다. 원격 공격자가 악의적인 스크립트를 주입하여 사용자 세션을 탈취하거나 악성 작업을 수행할 수 있습니다.
💡 쉬운 설명
O2OA라는 일정관리 소프트웨어에서 사용자가 입력하는 텍스트 필드에 악의적인 코드를 삽입할 수 있는 취약점입니다. 이를 통해 해커가 다른 사용자의 정보를 훔치거나 그들의 계정을 제어할 수 있습니다.
🇺🇸 원문 (English)
A security vulnerability has been detected in O2OA up to 10.0-410. This impacts an unknown function of the file /x_query_assemble_designer/jaxrs/statement of the component Personal Profile Page. Such manipulation of the argument description/queryName leads to cross site scripting. The attack may be launched remotely. The exploit has been disclosed publicly and may be used. The vendor replied in the GitHub issue (translated from simplified Chinese): "This issue will be fixed in the new version."
📍 영향받는 시스템
O2OA 버전 10.0-410 이하
⚔️ 공격 벡터
Personal Profile Page의 queryName 또는 description 파라미터에 JavaScript 코드를 주입하여 XSS 공격 수행
🛡️ 대응 방법
O2OA를 최신 버전으로 업그레이드하거나 공급업체 패치 적용
🔧 검증 코드
O2OA 설치 경로를 찾아 버전 파일을 확인하여 10.0-410 이하 버전이 설치되어 있으면 업그레이드 필요
find / -name 'o2oa' -o -name 'O2OA' 2>/dev/null | head -1 && cat /opt/o2oa/version.txt 2>/dev/null || grep -r 'version' /opt/o2oa/ 2>/dev/null | grep -i '10\.0' | head -1