🇰🇷 한글 설명
telegram-search에서 발생하는 저장형 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 정제되지 않은 HTML이 포함된 메시지를 공유 텔레그램 그룹에 전송하면, 피해자의 브라우저에서 임의의 자바스크립트가 실행될 수 있습니다. MessageList.vue의 highlightKeyword 함수가 메시지 내용을 검증 없이 v-html로 직접 전달하는 것이 원인입니다.
💡 쉬운 설명
텔레그램 메시지 검색 기능에서 악성 코드가 포함된 메시지를 읽을 때 해커가 사용자의 브라우저를 조종할 수 있는 보안 약점입니다. 공격자가 보낸 특수 메시지를 보는 것만으로도 개인 정보가 유출되거나 원치 않는 동작이 실행될 수 있습니다.
🇺🇸 원문 (English)
telegram-search contains a stored cross-site scripting vulnerability that allows remote attackers to execute arbitrary JavaScript in victims' browsers by sending crafted messages containing unsanitized HTML to a shared Telegram group. The highlightKeyword function in MessageList.vue passes raw message content directly to v-html without HTML escaping or sanitization, enabling stored, cross-user, zero-click execution of injected payloads such as image onerror handlers when victims browse or search messages.
📍 영향받는 시스템
telegram-search (MessageList.vue 구성 요소 사용 버전)
⚔️ 공격 벡터
공유 텔레그램 그룹에 악성 HTML 코드가 포함된 메시지를 전송하여 피해자가 이를 조회하거나 검색하게 함
🛡️ 대응 방법
highlightKeyword 함수 내에서 v-html 사용을 중단하고, 메시지 콘텐츠에 대해 HTML 이스케이프 또는 적절한 Sanitization 처리를 적용해야 함
🔧 검증 코드
명령어 결과로 MessageList.vue 파일 내에 v-html이 포함된 코드가 출력되면 취약한 상태임
grep -r "v-html" ./src/components/MessageList.vue