🇰🇷 한글 설명
TinyMCE의 6.8.0 버전부터 7.1.0 미만 버전 사이에서 발생하는 XSS 취약점입니다. 새니타이저의 부적절한 SVG 네임스페이스 범위 처리로 인해, 중첩된 요소를 사용한 정교한 페이로드가 속성 검증을 우회하고 임의의 자바스크립트를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트에서 글을 쓸 때 사용하는 편집기 도구에 보안 구멍이 발견되었습니다. 나쁜 의도를 가진 사용자가 특수한 코드를 삽입하면, 다른 사용자의 브라우저에서 몰래 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
TinyMCE is an open source rich text editor. From 6.8.0 to before 7.1.0, TinyMCE contains an XSS vulnerability caused by improper SVG namespace scope handling in the sanitizer. A crafted payload using nested elements can bypass attribute sanitization and execute arbitrary JavaScript. This vulnerability is fixed in 7.1.0.
📍 영향받는 시스템
TinyMCE 6.8.0 ~ 7.1.0 미만 버전
⚔️ 공격 벡터
중첩된 SVG 요소를 이용한 속성 검증 우회 및 악성 자바스크립트 삽입
🛡️ 대응 방법
TinyMCE를 최신 보안 패치가 적용된 7.1.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 tinymce의 버전을 확인하여 7.1.0 미만인지 체크합니다.