🇰🇷 한글 설명
MongoSQL Transition Readiness Tool이 생성된 HTML에 데이터베이스 메타데이터를 포함할 때 인코딩을 충분히 수행하지 않습니다. 쓰기 권한이 있는 MongoDB 사용자가 조작된 메타데이터를 삽입하면, 보고서를 생성하고 여는 다른 사용자의 브라우저에서 악성 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
데이터베이스 정보를 보고서로 만들 때 보안 처리가 미흡하여 발생하는 문제입니다. 나쁜 의도를 가진 사용자가 데이터에 몰래 코드를 숨겨두면, 보고서를 보는 사람의 컴퓨터에서 원치 않는 동작이 일어날 수 있습니다.
🇺🇸 원문 (English)
MongoSQL Transition Readiness Tool does not sufficiently encode database metadata before including it in generated HTML. A MongoDB user with write access can introduce crafted metadata that may cause script code to run when another user generates and opens the report, potentially exposing report contents or altering its display.
📍 영향받는 시스템
MongoSQL Transition Readiness Tool (버전 미지정)
⚔️ 공격 벡터
쓰기 권한을 가진 사용자가 조작된 메타데이터를 삽입하여 HTML 보고서 내 스크립트 실행 유도 (Stored XSS)
🛡️ 대응 방법
해당 도구를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 메타데이터 입력 시 적절한 HTML 인코딩을 적용해야 합니다.
🔧 검증 코드
설치된 도구의 버전을 확인하여 보안 패치가 적용된 최신 버전인지 제조사 공지사항과 대조합니다.
mongo-sql-transition-tool --version 2>/dev/null || echo 'Tool not found'