🇰🇷 한글 설명
WWBN AVideo 29.0 이하 버전에서 ParsedownSafeWithLinks 클래스의 XSS 수정이 불완전하여, 마크다운 링크 문법에 포함된 javascript: URL이 sanitization을 우회할 수 있습니다. 해당 문제는 cae8f0dadbdd962c89b91d0095c76edb8aadcacf 커밋에서 수정되었습니다.
💡 쉬운 설명
동영상 플랫폼 AVideo에서 마크다운 링크를 통해 악성 스크립트가 실행될 수 있는 취약점입니다. 공격자가 만든 링크를 사용자가 클릭하면 로그인 정보 등이 탈취될 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions 29.0 and below, an incomplete XSS fix in AVideo's `ParsedownSafeWithLinks` class overrides `inlineMarkup` for raw HTML but does not override `inlineLink()` or `inlineUrlTag()`, allowing `javascript:` URLs in markdown link syntax to bypass sanitization. Commit cae8f0dadbdd962c89b91d0095c76edb8aadcacf contains an updated fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 버전
⚔️ 공격 벡터
마크다운 링크 문법에 javascript: URL을 삽입해 게시물이나 댓글에 악성 스크립트를 심고, 사용자가 클릭할 때 XSS가 실행됨
🛡️ 대응 방법
cae8f0dadbdd962c89b91d0095c76edb8aadcacf 커밋이 반영된 최신 버전으로 AVideo를 업데이트
🔧 검증 코드
결과에 inlineLink 또는 inlineUrlTag 메서드 오버라이드가 존재하면 패치가 적용된 것이며, 결과가 없으면 취약한 상태일 가능성이 높습니다.
grep -rn "inlineLink\|inlineUrlTag" $(find / -path '*/AVideo/*' -name 'ParsedownSafeWithLinks*.php' 2>/dev/null) 2>/dev/null