🇰🇷 한글 설명
Android용 wallabag(fr.gaulupeau.apps.InThePoche) 2.6.0 이하 버전에서 XSS(교차 사이트 스크립팅) 취약점이 발견되었습니다. /api/entries 데이터를 WebView로 로드하는 과정에서 악성 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
앱이 웹 페이지를 보여주는 화면에서 검증되지 않은 데이터를 그대로 불러오기 때문에 발생하는 문제입니다. 공격자가 특수하게 조작된 데이터를 보내면 사용자의 앱에서 몰래 나쁜 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
The wallabag (aka fr.gaulupeau.apps.InThePoche) application through 2.6.0 for Android allows XSS because /api/entries data is loaded into a WebView.
📍 영향받는 시스템
wallabag (fr.gaulupeau.apps.InThePoche) Android App version 2.6.0 and below
⚔️ 공격 벡터
공격자가 조작된 API 응답 데이터를 통해 WebView 내에서 악성 스크립트를 실행하는 방식
🛡️ 대응 방법
해당 앱을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 versionName이 2.6.0과 같거나 낮으면 취약한 버전이 설치된 상태입니다.
adb shell pm list packages | grep fr.gaulupeau.apps.InThePoche && dumpsys package fr.gaulupeau.apps.InThePoche | grep versionName
💻 영향받는 소프트웨어
Microsoft Edge for Android