🇰🇷 한글 설명
DumbAssets 1.0.11 이하 버전에는 name, description, modelNumber, serialNumber, tags 등 자산 필드에 대한 저장형 XSS 취약점이 존재합니다. 서버 측 검증 없이 저장된 값이 클라이언트에서 innerHTML로 이스케이프 없이 렌더링되며, CSP가 비활성화된 경우 주입된 스크립트가 내부 네트워크 서비스에 무제한 연결할 수 있습니다.
💡 쉬운 설명
자산 정보 입력란에 악성 스크립트를 넣어 저장하면, 그 목록을 보는 다른 사용자의 브라우저에서 해당 스크립트가 실행됩니다. 보안 정책이 꺼져 있으면 사내 시스템에도 접근될 수 있습니다.
🇺🇸 원문 (English)
DumbAssets through 1.0.11 contains a stored cross-site scripting vulnerability in asset fields including name, description, modelNumber, serialNumber, and tags that are stored without server-side sanitization and rendered using innerHTML without client-side escaping. Attackers can create or update assets with HTML or JavaScript payloads via the asset API endpoints to execute arbitrary scripts in the browsers of users viewing the asset list, and with Content-Security-Policy disabled, the injected scripts can make unrestricted connections to internal network services.
📍 영향받는 시스템
DumbAssets 1.0.11 이하 버전
⚔️ 공격 벡터
자산 API 엔드포인트로 HTML/JavaScript 페이로드가 포함된 자산을 생성 또는 수정하여, 해당 자산 목록을 조회하는 사용자의 브라우저에서 스크립트를 실행
🛡️ 대응 방법
DumbAssets를 1.0.11 이후 패치 버전으로 업grade하고, 서버 측 입력 검증과 출력 이스케이프를 적용하며, Content-Security-Policy를 활성화
🔧 검증 코드
출력된 버전이 1.0.11 이하이면 취약하며, 1.0.12 이상 또는 패치된 버전이면 해당 CVE에 대해 조치가 완료된 것입니다. 버전 정보가 없으면 설치 경로를 직접 확인해야 합니다.
docker ps --format '{{.Image}}' | grep -i dumbassets; cat package.json 2>/dev/null | grep -i '"version"'