🇰🇷 한글 설명
Standard Notes Android 버전 3.201.24 이하의 Evernote 및 Google Keep 노트 가져오기 기능에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 조작된 .enex 또는 Google Keep HTML 파일을 통해 악성 자바스크립트를 실행하면 암호화 키, 노트 데이터 탈취 및 기기 API의 임의 호출이 가능합니다.
💡 쉬운 설명
나쁜 의도로 만들어진 메모 파일을 앱으로 불러올 때, 앱이 이를 잘못 처리하여 해커가 내 정보를 훔쳐갈 수 있는 문제입니다. 해커가 내 암호화 키를 가져가거나 휴대폰의 기능을 마음대로 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Cross-site scripting in the Evernote and Google Keep note importers in Standard Notes for Android through 3.201.24 allows an attacker to execute arbitrary JavaScript in the application context when a victim imports a crafted .enex or Google Keep HTML file, leading to theft of encryption keys and note data, and arbitrary invocation of native device APIs.
📍 영향받는 시스템
Standard Notes for Android 3.201.24 이하 버전
⚔️ 공격 벡터
조작된 .enex 또는 Google Keep HTML 파일을 통한 XSS 공격
🛡️ 대응 방법
Standard Notes 앱을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 versionName이 3.201.24 이하인지 확인하여 취약 여부를 판단합니다.
adb shell pm list packages | grep com.standardnotes.android && adb shell dumpsys package com.standardnotes.android | grep versionName
💻 영향받는 소프트웨어
Microsoft Edge for Android