🇰🇷 한글 설명
Twenty는 오픈소스 CRM입니다. 1.20.6 이전 버전에서는 BlockNote 에디터 컴포넌트에 저장형 XSS 취약점이 존재합니다. FileBlock 컴포넌트의 프로토콜 검증 부족과 서버 측 블록 콘텐츠 검사 미흡으로 인해, 공격자가 파일 블록의 url 속성에 javascript: URI를 삽입할 수 있습니다. 사용자가 악성 파일 첨부를 클릭하면 임의의 JavaScript가 실행될 수 있으며, 이 취약점은 1.20.6에서 수정되었습니다.
💡 쉬운 설명
CRM 시스템에서 파일 첨부 링크에 악성 코드를 숨겨 넣을 수 있는 문제입니다. 사용자가 해당 파일을 클릭하면 공격자의 스크립트가 실행되어 로그인 정보나 데이터가 탈취될 수 있습니다.
🇺🇸 원문 (English)
Twenty is an open source CRM. Prior to 1.20.6, a Stored Cross-Site Scripting (XSS) vulnerability exists in the BlockNote editor component. Due to a lack of protocol validation in the FileBlock component and insufficient server-side inspection of block content, an attacker can inject a javascript: URI into the url property of a file block. This allows the execution of arbitrary JavaScript when a user clicks on the malicious file attachment. This vulnerability is fixed in 1.20.6.
📍 영향받는 시스템
Twenty CRM 1.20.6 미만 버전
⚔️ 공격 벡터
공격자가 파일 블록 URL에 javascript: URI를 삽입한 콘텐츠를 저장하고, 피해자가 해당 첨부 파일을 클릭하면 스크립트가 실행됨
🛡️ 대응 방법
Twenty CRM을 1.20.6 이상으로 업데이트
🔧 검증 코드
출력된 이미지 태그의 버전이 1.20.6 미만이면 취약하며, 1.20.6 이상이면 패치가 적용된 것입니다.
docker images --format '{{.Repository}}:{{.Tag}}' | grep -i twenty