🇰🇷 한글 설명
Dashy는 자체 호스팅이 가능한 개인 대시보드입니다. 1.9.4 버전부터 3.2.0 이전까지 RSS 위젯(src/components/Widgets/RssFeed.vue)이 피드 항목의 link 값을 검증하지 않고 제목과 Read More 링크의 anchor href 속성으로 렌더링하여, 공격자가 제어하는 피드가 javascript: URI를 삽입하면 사용자가 클릭 시 Dashy 출처(origin)에서 스크립트가 실행될 수 있습니다. 이 문제는 3.2.0 버전에서 수정되었습니다.
💡 쉬운 설명
Dashy의 RSS 위젯이 악성 뉴스 링크를 걸러내지 않아, 링크를 클릭하면 악성 코드가 실행될 수 있습니다. 3.2.0 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Dashy is a self-hostable personal dashboard. From 1.9.4 until 3.2.0, the Dashy RSS Widget in src/components/Widgets/RssFeed.vue does not sanitize RSS item link values before rendering feed item titles and Read More links as anchor href attributes, allowing an attacker-controlled feed to provide a javascript: URI that executes when clicked in the Dashy origin. This issue is fixed in version 3.2.0.
📍 영향받는 시스템
Dashy 1.9.4 이상 3.2.0 미만 버전 (RSS 위젯 사용 시)
⚔️ 공격 벡터
공격자가 악성 javascript: 링크가 포함된 RSS 피드를 만들어 대시보드 사용자가 해당 항목을 클릭하도록 유도하여 XSS를 실행
🛡️ 대응 방법
Dashy를 3.2.0 이상으로 업그레이드하고, 신뢰할 수 없는 RSS 피드를 위젯에 추가하지 않도록 합니다
🔧 검증 코드
출력된 version 값이 3.2.0 미만이면 취약하며, 3.2.0 이상이면 수정된 버전입니다. 아무 결과도 없으면 설치 경로를 직접 확인해야 합니다.
docker exec dashy cat /app/package.json 2>/dev/null | grep '"version"' || cat package.json 2>/dev/null | grep '"version"'