🇰🇷 한글 설명
GYM One 1.4.1 미만 버전에서 관리자 사용자 목록 페이지가 프로필 필드의 데이터를 HTML 인코딩 없이 렌더링하는 취약점이 발견되었습니다. 공격자가 이름이나 이메일 필드에 악성 스크립트를 저장하면, 관리자가 사용자 목록을 조회할 때 해당 스크립트가 실행되어 관리자 세션 탈취나 권한 오용이 발생할 수 있습니다.
💡 쉬운 설명
사용자 정보에 몰래 악성 코드를 심어두면, 관리자가 관리자 페이지를 열 때 그 코드가 자동으로 실행되는 보안 결함입니다. 이를 통해 해커가 관리자의 권한을 훔치거나 시스템을 조작할 수 있습니다.
🇺🇸 원문 (English)
GYM One is open-source gym management software for fitness centers, personal trainers, and sports clubs. Prior to 1.4.1, GYM One's admin/users/index.php renders the stored firstname, lastname, and email profile fields into the administrator user list without HTML output encoding. An attacker who can store values in those fields can cause content to execute in an administrator's browser when the administrator visits /admin/users/. The persistent script can access administrator-session data or perform actions with the administrator's privileges until the stored record is removed. This issue is fixed in version 1.4.1.
📍 영향받는 시스템
GYM One 1.4.1 미만 버전
⚔️ 공격 벡터
사용자 프로필 필드(이름, 이메일 등)에 악성 스크립트를 삽입하여 관리자 페이지에서 실행시키는 저장형 XSS 공격
🛡️ 대응 방법
GYM One를 최신 보안 패치가 적용된 1.4.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 악성 스크립트 태그가 그대로 출력된다면 취약한 상태이며, 인코딩되어 출력된다면 안전합니다.
curl -s http://<target_ip>/admin/users/index.php | grep -E '<script>alert\(1\)</script>'