🇰🇷 한글 설명
Venueless의 기본 도커 이미지에서 업로드된 SVG 파일 내에 실행 가능한 자바스크립트가 포함되는 것을 제대로 차단하지 못하는 취약점이 발견되었습니다. 현재는 적절한 콘텐츠 보안 정책(CSP)을 설정하여 이 문제를 해결했습니다.
💡 쉬운 설명
사용자가 올린 이미지 파일 안에 몰래 악성 코드를 숨겨서 실행할 수 있는 보안 구멍이 있었습니다. 이제는 보안 규칙을 강화하여 이런 코드가 작동하지 않도록 막았습니다.
🇺🇸 원문 (English)
The default docker image shipped for Venueless did not properly ensure that uploaded SVG files could not be delivered with executable JavaScript content. A valid Content Security Policy is now set.
📍 영향받는 시스템
Venueless 기본 도커 이미지 (패치 적용 전 버전)
⚔️ 공격 벡터
악성 자바스크립트가 포함된 SVG 파일을 업로드하여 사용자 브라우저에서 코드를 실행시키는 방식
🛡️ 대응 방법
최신 보안 정책(CSP)이 적용된 Venueless 도커 이미지로 업데이트
🔧 검증 코드
응답 헤더에 Content-Security-Policy 항목이 포함되어 있는지 확인하여 보안 정책 적용 여부를 판단합니다.
curl -I http://<target-url>/path/to/svg | grep -i 'Content-Security-Policy'