🇰🇷 한글 설명
Misskey의 RSS 구성 요소가 피드 항목의 URL 스킴을 검증하지 않아 발생하는 취약점입니다. 공격자가 제어하는 피드 콘텐츠에 안전하지 않은 스킴의 링크를 포함할 경우, 사용자가 RSS 위젯의 링크를 클릭할 때 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
뉴스 피드를 보여주는 기능에서 링크가 안전한지 확인하지 않는 문제입니다. 나쁜 의도를 가진 사람이 만든 링크를 클릭하면 사용자의 브라우저에서 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Misskey is an open source, federated social media platform. From 12.0.0 until 2026.7.0, the RSS components display feed item links from configured feeds without verifying their URL schemes. Missing URL scheme verification allows an attacker who controls feed content to provide an unsafe-scheme link that causes script execution when a user clicks it in an RSS widget. This issue is fixed in version 2026.7.0.
📍 영향받는 시스템
Misskey 버전 12.0.0부터 2026.7.0 미만 버전
⚔️ 공격 벡터
공격자가 조작한 RSS 피드 내의 악성 URL 스킴(예: javascript:) 링크를 통한 사용자 클릭 유도
🛡️ 대응 방법
Misskey를 최신 보안 패치가 적용된 버전인 2026.7.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과로 2026.7.0 이상의 버전 번호가 출력되면 취약점이 해결된 상태입니다.
curl -s http://<your-misskey-instance>/api/v1/version | grep -E '2026\.7\.0'