🇰🇷 한글 설명
Canarytokens의 PWA 기능에서 자가 XSS 취약점이 발견되었습니다. 토큰 생성자가 제목 필드에 JavaScript를 삽입하면, 설치 페이지 방문 시 코드가 실행될 수 있습니다. 공격자가 이를 악용해 악성 링크를 전송할 수 있으나 세션 정보 등 민감 데이터는 유출되지 않습니다.
💡 쉬운 설명
Canarytokens 네트워크 추적 도구에서 사용자가 자신의 코드를 실행할 수 있는 결함이 있습니다. 이를 이용해 다른 사람에게 악성 링크를 보낼 수 있지만 개인정보는 빼낼 수 없습니다.
🇺🇸 원문 (English)
Canarytokens help track activity and actions on a network. Versions prior to `sha-7ff0e12` have a Self Cross-Site Scripting vulnerability in the "PWA" Canarytoken, whereby the Canarytoken's creator can attack themselves or someone they share the link with. The creator of a PWA Canarytoken can insert Javascript into the title field of their PWA token. When the creator later browses the installation page for their own Canarytoken, the Javascript executes. This is a self-XSS. An attacker could create a Canarytoken with this self-XSS, and send the install link to a victim. When they click on it, the Javascript would execute. However, no sensitive information (ex. session information) will be disclosed to the malicious actor. This issue is now patched on Canarytokens.org. Users of self-hosted Canarytokens installations can update by pulling the latest Docker image, or any Docker image after sha-7ff0e12.
📍 영향받는 시스템
Canarytokens sha-7ff0e12 이전 버전 (Canarytokens.org 및 자체 호스팅 설치)
⚔️ 공격 벡터
PWA 토큰의 제목 필드에 JavaScript를 삽입한 후 피해자에게 설치 링크 공유
🛡️ 대응 방법
sha-7ff0e12 이후 버전으로 업데이트하거나 최신 Docker 이미지 사용
🔧 검증 코드
Docker 이미지 태그나 pip 패키지 버전을 확인합니다. 최신 버전이면 취약점이 패치된 상태입니다.
docker images canarytokens --format '{{.Tag}}' 2>/dev/null || pip show canarytokens 2>/dev/null | grep Version || echo 'Not installed'