🇰🇷 한글 설명
sanitize-html 라이브러리의 2.17.4 이전 버전은 기본 설정에서 xmp 태그 내 공격자 제어 콘텐츠를 실제 HTML 또는 자바스크립트로 변환하는 보안 결함이 있습니다. 이는 저장형 XSS(크로스 사이트 스크립팅) 취약점으로 이어질 수 있으며, 2.17.4 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트의 콘텐츠 필터링 기능이 해커의 악성 코드를 차단하지 못해 실행되도록 만드는 문제입니다. 이 결함을 이용하면 공격자가 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system, and sanitize-html provides a simple HTML sanitizer with a clear API. Under the default configuration, versions of `sanitize-html` prior to 2.17.4 can turn attacker-controlled content inside a disallowed `xmp` element into live HTML or JavaScript. This is a sanitizer bypass in the default `disallowedTagsMode: 'discard'` path and can lead to stored XSS in applications that render sanitized output back to users. Version 2.17.4 patches the issue.
📍 영향받는 시스템
sanitize-html < 2.17.4 (ApostropheCMS 포함)
⚔️ 공격 벡터
악의적인 xmp 태그를 포함한 HTML 콘텐츠를 시스템에 저장하거나 입력하여 필터링 우회
🛡️ 대응 방법
sanitize-html 패키지를 버전 2.17.4 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 2.17.4보다 낮으면 취약한 버전이므로 업그레이드가 필요합니다.
npm list sanitize-html 2>/dev/null | grep sanitize-html