🇰🇷 한글 설명
Spring Framework의 JavaScriptUtils.javaScriptEscape() 메서드에서 잘못된 이스케이핑으로 인해 브라우저에서 JavaScript 코드 주입이 발생할 수 있습니다. 이로 인해 크로스 사이트 스크립팅(XSS) 취약점이 유발되어 공격자가 악성 스크립트를 실행할 위험이 있습니다.
💡 쉬운 설명
웹 사이트의 보안 기능이 제대로 작동하지 않아 해커가 악성 코드를 숨길 수 있는 구멍이 생겼습니다. 이 구멍을 통해 해커가 사용자의 브라우저에서 원치 않는 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Due to incorrect escaping, the use of JavaScriptUtils.javaScriptEscape() may lead to JavaScript code injection in the browser, potentially resulting in a cross-site scripting (XSS) vulnerability.
Affected versions:
Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.
📍 영향받는 시스템
Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27, 5.3.0-5.3.48
⚔️ 공격 벡터
사용자가 접근하는 웹 페이지에 악성 JavaScript 코드를 삽입하여 브라우저에서 실행되도록 유도
🛡️ 대응 방법
Spring Framework를 최신 패치 버전으로 업그레이드하여 JavaScriptUtils의 이스케이핑 로직을 수정해야 합니다.
🔧 검증 코드
명령어 실행 결과 해당 메서드가 사용된 파일이 나오면 영향을 받을 수 있으므로 패치된 버전으로 업그레이드해야 합니다.
grep -r 'javaScriptEscape' src/main/java/ | grep -v 'test'