🇰🇷 한글 설명
MediaWiki의 EmbedVideo 확장 기능에서 JSON 데이터를 data-mw-iframeconfig 속성에 삽입할 때 작은따옴표를 안전하게 이스케이프하지 않는 취약점이 발견되었습니다. 공격자가 조작된 식별자나 URL을 입력하면 HTML 속성을 종료하고 이벤트 핸들러를 주입하여 악성 자바스크립트를 실행할 수 있습니다. 이 문제는 버전 4.1.0에서 수정되었습니다.
💡 쉬운 설명
동영상을 삽입하는 기능에 특수 문자를 잘못 처리하는 허점이 있어, 공격자가 악성 코드를 심을 수 있습니다. 위키 페이지를 편집할 수 있는 사람이 이 기능을 이용해 방문자의 브라우저에서 몰래 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
The EmbedVideo Extension is a MediaWiki extension which adds a parser function called #ev and various parser tags for embedding video clips from various video sharing services. Prior to 4.1.0, with the default $wgEmbedVideoRequireConsent configuration enabled, includes/EmbedService/EmbedHtmlFormatter.php places JSON returned through includes/EmbedService/AbstractEmbedService.php into the data-mw-iframeconfig attribute without safely escaping single quotes. Attacker-controlled archiveorg identifiers and wistia or sharepoint URLs accepted by the affected service validators can cause getUrl() output to terminate the attribute and inject event-handler attributes into the generated figure element. A user able to edit a wiki page can store JavaScript that executes in the wiki origin when visitors render the page. This issue is fixed in version 4.1.0.
📍 영향받는 시스템
MediaWiki EmbedVideo Extension (version < 4.1.0)
⚔️ 공격 벡터
조작된 archiveorg 식별자 또는 wistia/sharepoint URL을 통한 HTML 속성 주입 및 XSS 공격
🛡️ 대응 방법
EmbedVideo 확장 기능을 4.1.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 4.1.0 미만이면 취약한 상태입니다.
composer show mediawiki/embed-video | grep 'versions'