🇰🇷 한글 설명
WEBCON BPS의 "/openinmobileapp" 엔드포인트에서 사용되는 일부 매개변수에 반사형 XSS 취약점이 존재합니다. 공격자가 특수하게 조작된 URL을 인증된 사용자가 열도록 유도하면 피해자의 브라우저에서 임의의 자바스크립트가 실행될 수 있습니다. 이 문제는 2026.1.3.109 및 2025.2.1.293 버전에서 수정되었습니다.
💡 쉬운 설명
악성 링크를 클릭하면 시스템에 로그인된 사용자의 브라우저에서 공격자의 코드가 몰래 실행될 수 있습니다. 이를 통해 세션 정보 탈취나 화면 조작 같은 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
WEBCON BPS is vulnerable to Reflected XSS via one of parameters used by "/openinmobileapp" endpoint. An attacker can send a specially crafted URL that, when opened by an authenticated user, results in arbitrary JavaScript execution in the victim's browser.
This issue was fixed in versions 2026.1.3.109 and 2025.2.1.293.
📍 영향받는 시스템
WEBCON BPS 2026.1.3.109 미만 및 2025.2.1.293 미만 버전
⚔️ 공격 벡터
공격자가 조작된 URL을 만들어 인증된 사용자에게 전달하고, 사용자가 이를 열면 악성 스크립트가 실행됨
🛡️ 대응 방법
WEBCON BPS를 2026.1.3.109 또는 2025.2.1.293 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2026.1.3.109 이상(2026.x 브랜치) 또는 2025.2.1.293 이상(2025.x 브랜치)이면 패치 적용된 것이며, 그보다 낮은 버전이면 취약한 상태입니다.
webcon-bps --version 2>/dev/null || grep -ri 'webcon' /opt /usr/local 2>/dev/null | grep -i version | head -n 5