🇰🇷 한글 설명
Material for MkDocs 7.2.0부터 9.7.7 이전 버전에는 선택적 기능인 search.suggest의 mountSearchSuggest 함수에 DOM 기반 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 조작된 q URL 파라미터를 통해 사용자 상호작용 후 문서 사이트 출처에서 임의의 자바스크립트가 실행될 수 있으며, 이 문제는 9.7.7 버전에서 수정되었습니다.
💡 쉬운 설명
문서 사이트 검색 기능의 입력값 처리 결함으로, 공격자가 만든 특수 링크를 방문자가 클릭하면 악성 스크립트가 실행될 수 있습니다. 버전 9.7.7 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Material for MkDocs is a powerful documentation framework built on top of MkDocs. From 7.2.0 until 9.7.7, the mountSearchSuggest function in src/templates/assets/javascripts/components/search/suggest/index.ts contains a DOM-based cross-site scripting vulnerability in the optional search.suggest feature that allows a crafted q URL parameter to execute JavaScript in a documentation site's origin after user interaction. This issue is fixed in version 9.7.7.
📍 영향받는 시스템
Material for MkDocs 7.2.0 이상 9.7.7 미만 버전 (search.suggest 기능 사용 시)
⚔️ 공격 벡터
공격자가 조작된 q 파라미터가 포함된 URL을 피해자에게 전달하고, 피해자가 검색 제안 기능과 상호작용하면 스크립트가 실행됨
🛡️ 대응 방법
Material for MkDocs를 9.7.7 이상 버전으로 업그레이드 (pip install --upgrade mkdocs-material)
🔧 검증 코드
출력된 Version 값이 9.7.7 미만이면 취약하며, 9.7.7 이상이면 패치가 적용된 것입니다.
pip show mkdocs-material 2>/dev/null | grep -i '^version'