🇰🇷 한글 설명
blitz-js 3.0.2 이전 버전의 LoginForm.tsx에서 Next 인자 조작을 통한 크로스사이트스크립팅(XSS) 취약점이 발견되었습니다. 원격에서 공격 가능하며 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
blitz-js의 로그인 페이지에 특수 입력값을 넣으면 악성 코드가 브라우저에서 실행될 수 있습니다. 공격자가 원격으로 사용자 세션을 탈취하거나 개인정보를 도용할 수 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in blitz-js blitz up to 3.0.2 on GitHub. This impacts an unknown function of the file packages/generator/templates/app/src/app/auth/components/LoginForm.tsx of the component Sign-in. This manipulation of the argument Next causes cross site scripting. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
blitz-js 버전 3.0.2 이하
⚔️ 공격 벡터
LoginForm.tsx의 Next 쿼리 파라미터에 XSS 페이로드 삽입하여 원격 공격 수행
🛡️ 대응 방법
blitz-js를 3.0.3 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 3.0.2 이하면 취약 상태이며, 3.0.3 이상 설치 필요
npm list blitz 2>/dev/null | grep -oP 'blitz@\K[^\s]+' | head -1