🇰🇷 한글 설명
langgenius dify 1.13.0 버전의 Splash Layout 컴포넌트 내 router.replace 함수에서 취약점이 발견되었습니다. redirect_url 인자를 조작하여 원격에서 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 해당 취약점은 이미 공개되었으며 공격에 악용될 가능성이 있습니다.
💡 쉬운 설명
웹사이트의 특정 주소창 값을 조작하여 해커가 악성 코드를 실행하게 만드는 보안 약점입니다. 공격자가 멀리 떨어진 곳에서도 사용자의 브라우저에서 원치 않는 동작을 일으킬 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was determined in langgenius dify 1.13.0. Affected is the function router.replace of the file web/app/(shareLayout)/components/splash.tsx of the component Splash Layout. This manipulation of the argument redirect_url causes cross site scripting. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
langgenius dify 1.13.0
⚔️ 공격 벡터
원격에서 redirect_url 인자를 조작하여 악성 스크립트를 주입하는 방식
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나, 입력값에 대한 검증 로직을 적용해야 합니다.
🔧 검증 코드
명령어 결과에 '1.13.0' 버전이 포함되어 있다면 해당 취약점에 노출된 상태입니다.
curl -s http://<target-ip>/version | grep -E '1.13.0'