🇰🇷 한글 설명
wlc는 Weblate REST API를 사용하는 명령줄 클라이언트입니다. 2.0.0 이전 버전에서는 HTML 출력 형식이 API 응답 데이터를 이스케이프 없이 HTML에 삽입하여, 출력 결과를 브라우저에서 렌더링할 때 크로스 사이트 스크립팅(XSS)이 발생할 수 있습니다. 이 문제는 2.0.0 버전에서 수정되었습니다.
💡 쉬운 설명
wlc라는 프로그램이 서버에서 받은 데이터를 웹페이지에 안전하지 않게 표시하는 문제가 있습니다. 악의적인 내용이 포함되면 웹페이지에서 원치 않는 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
wlc is a Weblate command-line client using Weblate's REST API. Prior to version 2.0.0, the HTML output format in wlc embeds API response data into HTML without escaping, allowing cross-site scripting when the output is rendered in a browser. This issue has been patched in version 2.0.0.
📍 영향받는 시스템
wlc 2.0.0 미만 버전 (Weblate 명령줄 클라이언트, HTML 출력 사용 환경)
⚔️ 공격 벡터
공격자가 Weblate 번역 데이터에 악성 스크립트를 삽입하고, 피해자가 wlc의 HTML 출력 결과를 브라우저에서 열면 스크립트가 실행됩니다.
🛡️ 대응 방법
wlc를 2.0.0 이상 버전으로 업데이트하거나, HTML 출력 기능 사용을 피하십시오.
🔧 검증 코드
출력된 Version 값이 2.0.0 미만이면 취약한 버전이므로 업데이트가 필요하고, 2.0.0 이상이면 패치가 적용된 것입니다. 명령 결과가 없으면 pip로 설치되지 않은 것이므로 다른 방법(예: which wlc)으로 설치 여부를 확인하십시오.
pip show wlc 2>/dev/null | grep -i '^version'