🇰🇷 한글 설명
XXL-JOB 3.5.0-SNAPSHOT 및 이전 버전의 사용자 관리 컨트롤러(JobUserController)에서 CSRF 취약점이 발견되었습니다. /user/insert, /user/update, /user/delete 엔드포인트에 CSRF 보호 기능이 결여되어 있으며 HTTP 메서드 제한도 이루어지지 않습니다.
💡 쉬운 설명
사용자가 로그인한 상태에서 악성 링크를 클릭하면, 공격자가 사용자의 권한을 도용해 사용자 정보를 마음대로 추가, 수정 또는 삭제할 수 있는 보안 결함입니다. 관리자가 의도하지 않은 동작을 시스템이 실행하게 만드는 공격 방식입니다.
🇺🇸 원문 (English)
XXL-JOB 3.5.0-SNAPSHOT and earlier contains a Cross-Site Request Forgery (CSRF) vulnerability in the user management controller (JobUserController). The endpoints /user/insert, /user/update, and /user/delete lack CSRF protection and do not restrict HTTP method.
📍 영향받는 시스템
XXL-JOB 3.5.0-SNAPSHOT 및 그 이전의 모든 버전
⚔️ 공격 벡터
사용자를 속여 악성 요청이 포함된 웹 페이지를 방문하게 함으로써 권한 없는 사용자 관리 작업 수행
🛡️ 대응 방법
CSRF 토큰 도입을 통한 요청 검증 강화 및 엔드포인트별 허용된 HTTP 메서드(POST 등) 제한
🔧 검증 코드
해당 엔드포인트가 소스 코드 내에 존재하고 CSRF 방어 로직이 없는지 확인합니다.
grep -r "JobUserController" /path/to/xxl-job-core | grep -E "/user/(insert|update|delete)"
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Cisco Integrated Management Controller