🇰🇷 한글 설명
CesiumGS CesiumJS 1.137.0 이하 버전의 Apps/Sandcastle/standalone.html 파일에서 인자 c에 대한 부적절한 입력 검증으로 인해 Cross Site Scripting(XSS) 취약점이 발생합니다. 이 취약점은 원격에서 악의적인 스크립트를 실행하는 데 사용될 수 있으며, 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
지도 라이브러리인 CesiumJS의 데모 파일에서 특정 입력값을 통해 악의적인 코드를 삽입할 수 있는 보안 문제입니다. 이를 통해 사용자의 브라우저에서 원하지 않는 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in CesiumGS CesiumJS up to 1.137.0. Affected by this issue is some unknown functionality of the file Apps/Sandcastle/standalone.html. The manipulation of the argument c results in cross site scripting. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. The presence of this vulnerability remains uncertain at this time. The vendor was contacted early about this disclosure but did not respond in any way. According to CVE-2023-48094, "the vendor's position is that Apps/Sandcastle/standalone.html is part of the CesiumGS/cesium GitHub repository, but is demo code that is not part of the CesiumJS JavaScript library product."
📍 영향받는 시스템
CesiumGS CesiumJS up to version 1.137.0
⚔️ 공격 벡터
웹 브라우저에서 Apps/Sandcastle/standalone.html 파일의 URL 매개변수 c를 조작하여 XSS 페이로드 삽입
🛡️ 대응 방법
CesiumJS를 1.138.0 이상으로 업그레이드하거나 standalone.html 사용을 제한
🔧 검증 코드
명령어 실행 결과에서 cesium 패키지 버전이 1.137.0 이하이면 취약점 영향을 받습니다.
grep -r "CesiumJS" package.json package-lock.json 2>/dev/null | grep -i version || npm list cesium 2>/dev/null | head -5