🇰🇷 한글 설명
langgenius dify 1.13.0 버전의 WebApp Sign-In 컴포넌트에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. redirect_url 인자를 조작하여 악성 스크립트를 실행할 수 있으며, 원격 공격자가 이를 이용할 수 있습니다.
💡 쉬운 설명
로그인 화면의 주소창 값을 조작하여 해커가 심어놓은 악성 코드가 사용자의 브라우저에서 실행될 수 있는 문제입니다. 이를 통해 사용자의 개인정보가 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability was identified in langgenius dify 1.13.0. Affected by this vulnerability is the function router.replace of the file web/app/(shareLayout)/webapp-signin/components/mail-and-password-auth.tsx of the component WebApp Sign-In. Such manipulation of the argument redirect_url leads to cross site scripting. The attack may be performed from remote. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
langgenius dify 1.13.0
⚔️ 공격 벡터
원격에서 redirect_url 매개변수를 조작하여 악성 스크립트 주입
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나, 입력값에 대한 URL 검증 로직을 적용해야 합니다.
🔧 검증 코드
출력된 이미지의 태그(버전)가 1.13.0인지 확인합니다.
docker images | grep dify