🇰🇷 한글 설명
Sangoma Switchvox SMB Edition 8.3(104997)의 음성메일 알림 템플릿 기능에서 저장형 XSS 취약점이 존재합니다. submit_modify_voicemail_template 엔드포인트가 인증된 사용자가 제공한 HTML 내용을 제대로 검증하지 않아, template_text 파라미터로 전달된 악성 자바스크립트가 서버에 저장되어 다른 사용자에게 렌더링됩니다.
💡 쉬운 설명
인증된 사용자가 음성메일 알림 양식에 악성 스크립트를 숨겨 저장할 수 있습니다. 이 양식을 열어본 다른 사용자의 브라우저에서 해당 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
A stored cross-site scripting (XSS) vulnerability exists in Sangoma Switchvox SMB Edition 8.3 (104997) within the voicemail notification template functionality. The submit_modify_voicemail_template endpoint fails to properly sanitize HTML content supplied by authenticated users, allowing malicious JavaScript supplied through the template_text parameter to be stored server-side and subsequently rendered to other users.
📍 영향받는 시스템
Sangoma Switchvox SMB Edition 8.3 (빌드 104997)
⚔️ 공격 벡터
인증된 사용자가 template_text 파라미터에 악성 JavaScript를 포함해 음성메일 템플릿을 저장하면, 다른 사용자가 해당 페이지를 볼 때 스크립트가 실행됩니다.
🛡️ 대응 방법
Sangoma 공식 패치 적용 여부를 확인하고, 업데이트가 제공되기 전까지 음성메일 템플릿 편집 권한을 신뢰된 관리자로 제한하며 관리 인터페이스 접근을 차단하십시오.
🔧 검증 코드
출력에서 Switchvox 버전 정보(8.3 및 빌드 104997)가 확인되면 취약 버전일 가능성이 있으므로 Sangoma 공지에서 패치 상태를 확인해야 하며, 결과가 없으면 웹 관리 콘솔의 About 페이지에서 직접 버전을 확인하십시오.
grep -ri 'switchvox' /etc/*release* /var/log/* 2>/dev/null | head -5