🇰🇷 한글 설명
Dashy는 자체 호스팅 가능한 개인 대시보드입니다. 4.3.7 이전 버전에서는 워크스페이스 뷰가 url 쿼리 파라미터를 검증 없이 iframe 소스에 그대로 할당하여, javascript: URL을 포함한 조작된 링크를 열면 Dashy origin에서 스크립트가 실행될 수 있습니다. 이 취약점은 4.3.7 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 사용자가 악의적으로 만들어진 대시보드 링크를 클릭하면, 공격자의 코드가 해당 대시보드 안에서 실행될 수 있습니다. 이를 통해 사용자의 브라우저 데이터나 권한이 악용될 수 있습니다.
🇺🇸 원문 (English)
Dashy is a self-hostable personal dashboard. Prior to 4.3.7, Dashy's workspace view trusts the url query parameter and assigns it directly to an iframe source without scheme validation. If a logged-in user opens a crafted workspace link containing a javascript: URL, JavaScript runs on the Dashy origin and can read same-origin browser data, interact with the Dashy DOM, and send requests as the victim. This issue is fixed in version 4.3.7.
📍 영향받는 시스템
Dashy 4.3.7 미만 버전
⚔️ 공격 벡터
로그인된 사용자가 javascript: URL이 포함된 조작된 워크스페이스 링크를 열도록 유도
🛡️ 대응 방법
Dashy를 4.3.7 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 4.3.7 미만이면 취약하며, 4.3.7 이상이면 수정된 버전입니다. 명령 결과가 비어 있으면 설치 위치를 직접 확인해야 합니다.
docker inspect $(docker ps -qf 'ancestor=lissy93/dashy') --format '{{index .Config.Labels "org.opencontainers.image.version"}}' 2>/dev/null || grep -m1 '"version"' package.json