🇰🇷 한글 설명
changedetection.io 0.60.6 이하 버전에서 웹 페이지 제목을 HTML 알림으로 보낼 때 이스케이프 처리가 되지 않는 취약점이 발견되었습니다. 공격자가 모니터링 대상 페이지의 제목에 악성 마크업을 삽입하면, watch_title 토큰을 사용하는 이메일이나 텔레그램 알림 채널에 악성 콘텐츠가 그대로 전달될 수 있습니다.
💡 쉬운 설명
웹사이트 변화를 감지해 알려주는 프로그램이 웹사이트 제목을 그대로 읽어와 알림을 보낼 때 발생하는 문제입니다. 나쁜 의도를 가진 웹사이트를 감시 대상으로 등록하면, 알림 메시지를 통해 사용자에게 가짜 화면을 보여주거나 해로운 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
changedetection.io through 0.60.6 fails to escape the scraped page title in HTML notifications, allowing arbitrary markup injection. Attackers can place malicious markup in monitored page titles that reaches notification channels like email and Telegram as live content when the watch_title token is used in templates.
📍 영향받는 시스템
changedetection.io 0.60.6 및 그 이전 버전
⚔️ 공격 벡터
모니터링 대상 웹 페이지의 제목(Title)에 악성 HTML/마크업 코드를 삽입하여 알림 채널로 전송
🛡️ 대응 방법
changedetection.io를 최신 버전(0.60.7 이상 권장)으로 업데이트하십시오.
🔧 검증 코드
출력된 이미지 태그 버전이 0.60.0에서 0.60.6 사이라면 취약한 버전이 설치된 것입니다.
docker inspect changedetection/changedetection.io --format '{{.Config.Image}}' | grep -E '0.60.[0-6]'