🇰🇷 한글 설명
DHIS2 OpenAPI HTML 엔드포인트가 scope 쿼리 파라미터 값을 충분한 검증 없이 생성된 HTML 문서에 반영합니다. 조작된 scope 값이 OpenAPI 문서 페이지에서 활성 HTML 또는 JavaScript로 렌더링될 수 있습니다. 공격자는 사용자가 조작된 URL을 열도록 유도하여 DHIS2 출처에서 해당 사용자의 브라우저에 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
DHIS2 문서 페이지의 URL 입력값이 제대로 걸러지지 않아 악성 스크립트가 페이지에 삽입될 수 있습니다. 사용자가 악성 링크를 클릭하면 공격자가 해당 사용자의 DHIS2 세션에서 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
DHIS2 is a flexible information system for data capture, management, validation, analytics and visualization. The DHIS2 OpenAPI HTML endpoint reflected values from the `scope` query parameter into the generated HTML document without sufficient sanitization. A crafted `scope` value could be rendered as active HTML or JavaScript in the OpenAPI documentation page. An attacker able to get a user to open a crafted OpenAPI HTML URL could execute JavaScript in that user's browser in the DHIS2 origin.
Affected versions: DHIS2 2.42 and 2.43 before the 2026-06-09 security patch releases, and the development branch for DHIS2 2.44 before the fix was merged.
Patched in 2.42.5.1, 2.43.0.1, the 2.42 and 2.43 line branches, and the 2.44 development branch.
📍 영향받는 시스템
DHIS2 2.42 및 2.43 (2026-06-09 보안 패치 이전), DHIS2 2.44 개발 브랜치(수정 병합 이전)
⚔️ 공격 벡터
사용자가 조작된 scope 파라미터를 포함한 OpenAPI HTML URL을 열도록 유도하여 DHIS2 출처에서 스크립트 실행
🛡️ 대응 방법
DHIS2 2.42.5.1, 2.43.0.1 이상 또는 해당 라인의 패치 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 2.42.5.1 이상 또는 2.43.0.1 이상이면 패치 적용된 것이며, 2.42.5.1 미만 2.42.x 또는 2.43.0.1 미만 2.43.x이면 취약합니다.
dhis2 --version 2>/dev/null || grep -ri 'dhis2.version' /opt/dhis2 2>/dev/null | head -n 1