🇰🇷 한글 설명
오픈 소스 리치 텍스트 에디터인 TinyMCE의 미디어 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 조작된 data-mce-* 속성을 통해 악성 스크립트를 삽입할 수 있으며, 해당 콘텐츠가 렌더링될 때 스크립트가 실행됩니다.
💡 쉬운 설명
글쓰기 도구의 미디어 기능에 악성 코드를 숨겨두면, 다른 사용자가 그 글을 읽을 때 자동으로 해킹 프로그램이 실행될 수 있는 문제입니다. 게시글에 몰래 심어둔 코드가 사용자의 정보를 훔쳐갈 위험이 있습니다.
🇺🇸 원문 (English)
TinyMCE is an open source rich text editor. Prior to 5.11.1, 7.9.3, and 8.5.1, there is a stored XSS vulnerability in the media plugin. Attackers can inject malicious scripts via crafted data-mce-* attributes, which are executed when content is rendered. Impacts users of TinyMCE with the media plugin enabled. This vulnerability is fixed in 5.11.1, 7.9.3, and 8.5.1.
📍 영향받는 시스템
TinyMCE 5.11.1 미만, 7.9.3 미만, 8.5.1 미만 버전 (media 플러그인 활성화 시)
⚔️ 공격 벡터
조작된 data-mce-* 속성을 포함한 데이터를 저장하여 콘텐츠 렌더링 시 스크립트 실행 유도
🛡️ 대응 방법
TinyMCE를 최신 보안 패치 버전(5.11.1, 7.9.3, 8.5.1 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위의 TinyMCE가 출력되면 해당 시스템은 보안 업데이트가 필요한 상태입니다.
npm list tinymce | grep -E 'tinymce@([0-4]\.|5\.(?!11\.1)|7\.(?!9\.3)|8\.(?!5\.1))'