🇰🇷 한글 설명
TinyMCE 오픈 소스 리치 텍스트 에디터에서 위조된 mce:protected 주석을 통해 저장형 XSS 취약점이 발생합니다. 공격자는 살균(sanitization) 과정을 우회하여 스크립트를 삽입할 수 있으며, 해당 콘텐츠가 복구될 때 스크립트가 실행됩니다. 이 취약점은 protect 옵션을 사용하는 사용자에게 영향을 미칩니다.
💡 쉬운 설명
글쓰기 도구인 TinyMCE에 특수한 주석을 숨겨 넣어 악성 코드를 심을 수 있는 보안 약점입니다. 사용자가 저장된 글을 다시 불러올 때 해커가 심어놓은 악성 스크립트가 자동으로 실행될 수 있습니다.
🇺🇸 원문 (English)
TinyMCE is an open source rich text editor. Prior to 5.11.1, 7.9.3, and 8.5.1, there is a stored XSS vulnerability via forged mce:protected comments. Allows attackers to bypass sanitization and inject scripts that execute when content is restored. Impacts users who utilize the protect option. This vulnerability is fixed in 5.11.1, 7.9.3, and 8.5.1.
📍 영향받는 시스템
TinyMCE 버전 5.11.1 미만, 7.9.3 미만, 8.5.1 미만
⚔️ 공격 벡터
위조된 mce:protected 주석을 삽입하여 콘텐츠 살균 과정을 우회하는 저장형 XSS 공격
🛡️ 대응 방법
TinyMCE를 최신 보안 패치 버전(5.11.1, 7.9.3, 8.5.1 이상)으로 업데이트
🔧 검증 코드
출력된 TinyMCE 버전을 확인하여 취약한 버전 범위에 해당하는지 체크