🇰🇷 한글 설명
DiscordChatExporter 2.47.2 미만 버전에서 HTML 내보내기 시 이모지 이름과 코드를 HTML 엔티티 인코딩 없이 속성에 삽입하는 취약점이 발견되었습니다. 공격자가 조작된 이모지 메타데이터를 사용하면 HTML 속성을 탈취하고 악성 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
디스코드 대화 내용을 파일로 저장할 때, 이모지 정보에 숨겨진 악성 코드가 함께 저장될 수 있는 문제입니다. 저장된 파일을 열면 해커가 심어놓은 프로그램이 몰래 실행될 위험이 있습니다.
🇺🇸 원문 (English)
DiscordChatExporter saves Discord chat logs to a file. Prior to 2.47.2, the VisitEmojiAsync method in DiscordChatExporter.Core/Exporting/HtmlMarkdownVisitor.cs interpolates emoji.Name into the alt attribute and emoji.Code into the title attribute without HTML entity encoding. This affects HTML exports regardless of the markdown setting. Discord's current custom emoji name validation normally excludes attribute-breaking characters, but tampered offline input, a relaxed upstream validation rule, or another future metadata source can inject an HTML attribute and execute script when a user opens the export. This issue is fixed in version 2.47.2.
📍 영향받는 시스템
DiscordChatExporter 2.47.2 미만 버전 (HTML 내보내기 기능 사용 시)
⚔️ 공격 벡터
조작된 이모지 메타데이터를 포함한 대화 로그를 HTML 형식으로 내보낸 후 사용자가 해당 파일을 열도록 유도
🛡️ 대응 방법
DiscordChatExporter를 최신 버전인 2.47.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.47.2보다 낮은지 확인하십시오.
discordchatexporter --version 2>/dev/null || echo 'Please check version manually'