🇰🇷 한글 설명
HAX CMS 26.0.0 이전 버전은 `<video-player>` 컴포넌트에서 `<video-player>` 컴포넌트의 `source` 속성에 `javascript:` URI가 부적절하게 허용되어 저장형 XSS 취약점이 존재합니다. 공격자는 피해자의 브라우저 컨텍스트에서 임의의 JavaScript 코드를 실행하여 JWT 토큰 등 민감한 데이터에 접근할 수 있습니다. 이 취약점은 버전 26.0.0에서 수정되었습니다.
💡 쉬운 설명
웹사이트의 동영상 플레이어 설정에 해로운 코드를 숨겨 저장할 수 있는 결함이 있습니다. 이 코드가 실행되면 해커가 사용자의 로그인 정보와 같은 중요한 데이터를 훔칠 수 있습니다. 최신 버전으로 업데이트하면 이 문제를 해결할 수 있습니다.
🇺🇸 원문 (English)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. A stored cross-site scripting (XSS) vulnerability exists in versions prior to 26.0.0 due to improper sanitization of the `<video-player>` component. The component allows `javascript:` URIs in the `source` attribute, which are executed when the page is viewed. This enables attackers to execute arbitrary JavaScript in the context of the victim’s browser and access sensitive data such as JWT tokens and more. Version 26.0.0 fixes the issue.
📍 영향받는 시스템
HAX CMS versions prior to 26.0.0
⚔️ 공격 벡터
저장형 XSS를 통해 피해자의 브라우저에서 악성 JavaScript 코드를 실행
🛡️ 대응 방법
HAX CMS를 버전 26.0.0 이상으로 업그레이드하십시오.
🔧 검증 코드
패키지 버전이 26.0.0 미만인 경우 취약한 버전으로 판단하며, 26.0.0 이상이면 안전합니다.
grep -r 'version' package.json | grep -v '26.0.0' || echo 'Version check required'