🇰🇷 한글 설명
Diagram 탭과 Graph 뷰에서 공유 입력 검증 함수의 제한이 미흡하여 저장형 HTML 인젝션 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 사용자가 N2OS 설정 데이터에 악성 HTML 태그를 삽입할 수 있으며, 피해자가 해당 데이터를 조회할 때 피싱이나 오픈 리다이렉트 공격에 노출될 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 시스템 설정에 몰래 악성 코드를 숨겨둘 수 있는 문제입니다. 다른 사용자가 해당 화면을 볼 때 가짜 로그인 페이지로 유도되거나 엉뚱한 사이트로 연결될 위험이 있습니다.
🇺🇸 원문 (English)
A Stored HTML Injection vulnerability was discovered in the Diagram tab and Graph view due to a shared input validation function being insufficiently restrictive. An authenticated user with administrative privileges can inject malicious HTML tags into N2OS configuration data through multiple input vectors. When a victim views the affected data in the Diagram tab and Graph view, the injected HTML renders in their browser, enabling phishing and possibly open redirect attacks. Full XSS exploitation and direct information disclosure are prevented by the existing input validation and Content Security Policy configuration.
📍 영향받는 시스템
N2OS (Diagram tab 및 Graph view 기능을 사용하는 버전)
⚔️ 공격 벡터
인증된 관리자가 N2OS 설정 데이터의 여러 입력 경로를 통해 악성 HTML 태그를 삽입
🛡️ 대응 방법
입력 검증 함수를 강화하여 HTML 태그 삽입을 차단하고, 보안 패치를 적용하십시오.
🔧 검증 코드
설치된 N2OS의 버전을 확인하여 해당 취약점이 해결된 보안 패치 버전인지 확인합니다.
n2os-cli --version | grep -E 'N2OS'