🇰🇷 한글 설명
Admidio 5.0.6 이하 버전에서 eCard 전송 핸들러가 검증된 값이 아닌 가공되지 않은 $_POST 데이터를 사용하여 HTML 인젝션 취약점이 발생합니다. 인증된 공격자는 이를 통해 다른 회원에게 전송되는 이메일에 악성 HTML 및 자바스크립트를 삽입할 수 있습니다. 이 취약점은 5.0.7 버전에서 수정되었습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 카드 메시지에 몰래 악성 코드를 심어 다른 사람에게 보낼 수 있는 문제입니다. 이 코드는 이메일을 받는 사람의 정보를 훔치거나 가짜 사이트로 유도하는 피싱 공격에 사용될 수 있습니다.
🇺🇸 원문 (English)
Admidio is an open-source user management solution. In versions 5.0.6 and below, the eCard send handler uses a raw $_POST['ecard_message'] value instead of the HTMLPurifier-sanitized $formValues['ecard_message'] when constructing the greeting card HTML. This allows an authenticated attacker to inject arbitrary HTML and JavaScript into greeting card emails sent to other members, bypassing the server-side HTMLPurifier sanitization that is properly applied to the ecard_message field during form validation. An attack can result in any member or role receiving phishing content that appears legitimate, crossing from the web application into recipients' email clients. This issue has been fixed in version 5.0.7.
📍 영향받는 시스템
Admidio 5.0.6 및 그 이하 모든 버전
⚔️ 공격 벡터
인증된 사용자가 eCard 메시지 필드에 악성 HTML/JavaScript를 삽입하여 이메일로 전송
🛡️ 대응 방법
Admidio를 최신 버전인 5.0.7 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 Admidio의 버전이 5.0.7 미만인지 확인하여 취약 여부를 판단합니다.
php -r 'echo "Admidio Version Check";' # 실제 버전 확인은 설치된 소스 코드의 version.php 또는 composer.json 확인 필요