🇰🇷 한글 설명
HCL Verse for Android의 리치 텍스트 이메일 작성에 사용되는 compose-rich-editor 라이브러리(v1.0.0-rc14)가 HTML 입력값을 모두 올바르게 검증하지 못합니다. 이로 인해 특정 상황에서 악성 콘텐츠가 실행될 수 있습니다.
💡 쉬운 설명
이메일을 작성하는 앱의 글 편집기가 입력 내용을 제대로 걸러내지 못하는 문제입니다. 악의적인 내용이 포함되면 특정 상황에서 그 내용이 실행될 수 있습니다.
🇺🇸 원문 (English)
The compose-rich-editor library (v1.0.0-rc14) used in HCL Verse for Android's rich text email composition fails to properly validate all HTML input thereby allowing malicious content to be executed in certain situations.
📍 영향받는 시스템
HCL Verse for Android에서 사용하는 compose-rich-editor 라이브러리 v1.0.0-rc14
⚔️ 공격 벡터
조작된 HTML이 포함된 이메일 또는 입력값을 사용자가 리치 텍스트 편집기에서 열거나 작성할 때 악성 스크립트가 실행됨
🛡️ 대응 방법
HCL Verse for Android를 제조사가 제공하는 보안 패치 버전으로 업데이트하고, compose-rich-editor 라이브러리를 수정된 버전으로 교체
🔧 검증 코드
출력 결과가 존재하면 취약한 v1.0.0-rc14 버전이 사용 중이므로 업데이트가 필요하고, 출력이 없으면 해당 버전이 발견되지 않은 것입니다.
grep -ri 'compose-rich-editor' /path/to/verse/app 2>/dev/null | grep -E '1\.0\.0-rc14'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Microsoft Edge for Android