🇰🇷 한글 설명
Seafile Server의 Seadoc(sdoc) 에디터에서 여러 개의 저장형 XSS 취약점이 발견되었습니다. WebSocket 메시지의 문서 구조 업데이트를 적절히 검증하지 못해, 인증된 공격자가 악성 자바스크립트를 삽입할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 문서 안에 몰래 악성 코드를 심어두는 공격입니다. 다른 사용자가 해당 문서를 열면 공격자가 의도한 동작이 실행될 수 있습니다.
🇺🇸 원문 (English)
Multiple Stored XSS vulnerabilities exist in Seafile Server version 13.0.15,13.0.16-pro,12.0.14 and prior and fixed in 13.0.17, 13.0.17-pro, and 12.0.20-pro, via the Seadoc (sdoc) editor. The application fails to properly sanitize WebSocket messages regarding document structure updates. This allows authenticated remote attackers to inject malicious JavaScript payloads via the src attribute of embedded Excalidraw whiteboards or the href attribute of anchor tags
📍 영향받는 시스템
Seafile Server 13.0.15, 13.0.16-pro, 12.0.14 및 이전 버전
⚔️ 공격 벡터
인증된 공격자가 WebSocket 메시지를 통해 Excalidraw 화이트보드나 앵커 태그의 속성에 악성 스크립트를 주입
🛡️ 대응 방법
Seafile Server를 13.0.17, 13.0.17-pro 또는 12.0.20-pro 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(13.0.15 이하 또는 12.0.14 이하)에 해당되는지 확인하십시오.
seafile --version 2>/dev/null || dpkg -l | grep seafile 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server