HumHub 친구 확인 창 저장형 XSS 취약점
회원 이름 칸에 숨긴 장난이 다른 회원 화면에서 실행될 수 있습니다.
요약
HumHub 친구 확인 창이 회원 표시 이름을 안전하게 처리하지 않습니다. 낮은 권한의 로그인 회원이 이름에 넣은 HTML이 다른 회원 브라우저에서 실행될 수 있습니다.
해당 조건
- 친구 시스템이 켜져 있음
- 표시 이름이 이름과 성으로 만들어짐
대처법
HumHub 1.19.1 또는 1.18.7 이상으로 업데이트하세요. 당장 못 하면 관리 설정에서 친구 시스템을 끄거나 표시 이름 형식을 사용자 이름으로 바꾸고, 기존 이름에 HTML이 있는지 확인하세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- HumHub 1.18 1.18.7 이상
- HumHub 1.19 1.19.1 이상
당장 못 하면:
설정 파일에 이 줄을 넣으세요:
Disable "Enable user friendship system" under Administration > Settings > General
설정을 잘못 바꾸면 서비스가 멈추거나 접속이 막힐 수 있어요. 바꾸기 전에 아래 원문 링크를 확인하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림) · github.com (새 탭에서 열림) · github.com (새 탭에서 열림)
- 분석 글: fluidattacks.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인