🇰🇷 한글 설명
Quark Drive 0.8.5 이전 버전의 시스템 설정 페이지에는 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 템플릿이 push_config 키 이름을 이스케이프 없이 Vue.js의 v-html 지시어로 렌더링하며, 인증된 공격자는 POST /update 엔드포인트를 통해 키 이름에 HTML 또는 JavaScript 페이로드를 삽입할 수 있습니다. 삽입된 값은 디스크에 저장되어 시스템 설정 탭에 접근하는 모든 인증 사용자의 브라우저에서 실행됩니다.
💡 쉬운 설명
로그인한 공격자가 설정 항목 이름에 악성 코드를 숨겨 저장할 수 있습니다. 다른 관리자가 시스템 설정 화면을 열면 그 코드가 실행되어 세션 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
Quark Drive before 0.8.5 contains a stored cross-site scripting vulnerability in the System Configuration page where the template renders push_config key names using Vue.js's v-html directive without escaping. Authenticated attackers can inject HTML or JavaScript payloads as key names through the POST /update endpoint, which are persisted to disk and executed in the browsers of all authenticated users accessing the System Configuration tab, allowing session cookie exfiltration and arbitrary authenticated actions.
📍 영향받는 시스템
Quark Drive 0.8.5 미만 버전
⚔️ 공격 벡터
인증된 사용자가 POST /update 요청의 push_config 키 이름에 악성 스크립트를 삽입하여 저장, 다른 사용자가 시스템 설정 탭을 열 때 실행
🛡️ 대응 방법
Quark Drive 0.8.5 이상으로 업그레이드하고, 업그레이드 전까지 시스템 설정 페이지 접근을 신뢰된 관리자로 제한하며 push_config 키 이름을 점검
🔧 검증 코드
출력된 버전이 0.8.5 미만이면 취약, 0.8.5 이상이면 패치된 것으로 판단하며, 명령이 아무것도 출력하지 않으면 설치 위치를 직접 확인해야 합니다.
pip show quark-drive 2>/dev/null | grep -i version || cat $(find / -name 'package.json' -path '*quark*' 2>/dev/null | head -1) 2>/dev/null | grep '"version"'