🇰🇷 한글 설명
Laravel-Mediable 7.0.0 이전 버전에는 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증되었거나 익명인 사용자가 필터링되지 않은 SVG 파일을 업로드하면, onload 이벤트 핸들러, script 태그, foreignObject 요소에 삽입된 스크립트가 실행될 수 있습니다. 해당 파일을 피해자가 열거나 미리보기 할 때 전체 DOM 권한으로 악성 스크립트가 동작합니다.
💡 쉬운 설명
이미지처럼 보이는 SVG 파일 안에 악성 코드를 숨겨 업로드할 수 있습니다. 누군가 그 파일을 열면 악성 코드가 실행되어 로그인 정보가 빼앗길 수 있습니다.
🇺🇸 원문 (English)
Laravel-Mediable before 7.0.0 contains a stored cross-site scripting vulnerability that allows authenticated or anonymous users to execute arbitrary JavaScript by uploading unsanitized SVG files containing embedded scripts in onload event handlers, script tags, or foreignObject elements. Attackers can store persistent XSS payloads in uploaded SVG files that execute with full DOM access when victims open or preview the file, enabling session cookie theft, CSRF token capture, and account takeover.
📍 영향받는 시스템
Laravel-Mediable 7.0.0 미만 버전을 사용하는 Laravel 애플리케이션
⚔️ 공격 벡터
악성 스크립트가 포함된 SVG 파일을 업로드한 뒤 피해자가 해당 파일을 열거나 미리보기 하도록 유도
🛡️ 대응 방법
laravel-mediable을 7.0.0 이상으로 업데이트하고, SVG 업로드를 허용하지 않거나 업로드 시 스크립트 요소를 제거하는 새니타이징을 적용
🔧 검증 코드
출력된 버전이 7.0.0 미만이면 취약하며, 7.0.0 이상이면 패치된 상태입니다. 명령어 결과가 없으면 해당 패키지가 설치되지 않은 것입니다.
composer show spatie/laravel-mediable 2>/dev/null | grep -E 'versions'