🇰🇷 한글 설명
Hi.Events 1.11.0 미만 버전에서 이벤트 생성 또는 수정 권한이 있는 인증된 공격자가 XSS 취약점을 악용할 수 있습니다. 공격자가 이벤트 제목에 </script> 시퀀스를 포함하면 JSON 데이터 내에서 스크립트 문맥을 탈출하여 임의의 HTML 및 자바스크립트를 실행할 수 있습니다. 이 페이로드는 공개 이벤트 페이지를 방문하는 일반 사용자 및 관리자 모두의 브라우저에서 실행될 수 있습니다.
💡 쉬운 설명
이벤트 제목을 만들 수 있는 권한을 가진 사람이 악성 코드가 담긴 제목을 입력하여 다른 사람의 브라우저에서 몰래 명령을 실행할 수 있는 문제입니다. 이를 통해 관리자의 계정을 탈취하거나 웹사이트를 변조할 위험이 있습니다.
🇺🇸 원문 (English)
Hi.Events before 1.11.0 contains a cross-site scripting vulnerability that allows authenticated attackers with event creation or edit permissions to inject arbitrary HTML and JavaScript by embedding a malicious event title containing the </script> sequence, which is not escaped by JSON.stringify() when embedded in inline script tags. Attackers can craft an event title that breaks out of the script context in the application/ld+json structured data block or server-side rehydrated state, causing the payload to execute in the browser of any user who views the public event page, including unauthenticated visitors and authenticated administrators.
📍 영향받는 시스템
Hi.Events 1.11.0 미만 버전
⚔️ 공격 벡터
이벤트 제목에 </script>를 포함하여 JSON 데이터 내의 스크립트 태그를 강제로 종료시킨 후 악성 스크립트 삽입
🛡️ 대응 방법
Hi.Events를 1.11.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.11.0보다 낮으면 취약한 상태이며, 1.11.0 이상이면 안전합니다.
curl -s http://<target-host>/api/version | grep -E '1.11.0'