🇰🇷 한글 설명
YesWiki의 폼 제목 필드에서 저장형 및 블라인드 XSS 취약점이 발견되었습니다. 공격자가 인증 없이 악성 자바스크립트를 삽입할 수 있으며, 해당 페이지를 방문하는 모든 사용자의 브라우저에서 해당 코드가 실행됩니다. 이 문제는 4.6.0 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트의 제목 입력창에 몰래 나쁜 코드를 심어두는 취약점입니다. 다른 사람이 그 페이지를 읽을 때 심어둔 코드가 자동으로 실행되어 개인정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
YesWiki is a wiki system written in PHP. Prior to version 4.6.0, a stored and blind XSS vulnerability exists in the form title field. A malicious attacker can inject JavaScript without any authentication via a form title that is saved in the backend database. When any user visits that injected page, the JavaScript payload gets executed. This issue has been patched in version 4.6.0.
📍 영향받는 시스템
YesWiki 4.6.0 미만 버전
⚔️ 공격 벡터
폼 제목 필드에 악성 자바스크립트 페이로드 주입 (Stored XSS)
🛡️ 대응 방법
YesWiki를 최신 버전인 4.6.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과 4.6.0 미만의 버전 번호가 출력되면 취약한 상태입니다.
grep -r "version" . | grep -E '4\.[0-5]\.'