CVE-2024-52794 – Discourse의 저장형 크로스 사이트 스크립팅(XSS)

요약

저는 오픈소스 포럼 플랫폼인 Discourse에서 저장형 크로스 사이트 스크립팅(XSS) 취약점을 발견했습니다. 이 취약점은 공격자가 업로드된 이미지의 파일명에 악성 페이로드를 삽입하여 피해자 브라우저에서 임의의 JavaScript를 실행할 수 있게 합니다. 이는 공개 토픽, 댓글 및 개인 메시지를 포함한 여러 사용자 상호작용 경로에 영향을 미칩니다.

CVE 식별자

CVE: CVE-2024-52794
권고 ID: GHSA-m3v4-v2rp-hfm9
발견자: Mohand00
보고 경로: Hackerone
보고일: 2024년 11월 18일

기술적 세부 사항

이미지를 업로드할 때 파일명이 프론트엔드에서 적절한 정화 없이 렌더링됩니다. 파일명에 JavaScript 페이로드가 포함된 경우, 예를 들어:

<script>alert(document.domain)</script>

...사용자가 이미지를 클릭하면 실행됩니다. 이는 다음에 적용됩니다:

토픽
댓글
직접 메시지

취약한 로직은 이미지의 alt 속성이나 주변 마크업에서 스크립트 태그를 인코딩하거나 제거하지 못했습니다.

영향

피해자 컨텍스트에서의 임의 JavaScript 실행
전체 세션 하이재킹 (document.cookie를 통해)
계정 탈취
여러 사용자 입력에서 작동 (지속형 XSS)

영향 받는 버전

채널	영향 받는 버전
Stable	≤ 3.3.2
Beta	≤ 3.4.0.beta3
Tests-passed	≤ 3.4.0.beta3

패치된 버전

채널	패치된 버전
Stable	≥ 3.3.3
Beta	≥ 3.4.0.beta4
Tests-passed	≥ 3.4.0.beta4

이 문제는 사용자가 제공한 파일명을 적절히 정화하고 이미지 렌더링 구성 요소의 모든 동적 콘텐츠를 이스케이프 처리하여 해결되었습니다.

공개 타임라인

날짜	이벤트
2024년 11월 18일	취약점이 hackerone을 통해 보고됨
2024년 12월 19일	CVE-2024-52794 할당됨
2024년 12월 19일	Discourse에서 공개 권고 게시됨

CVE-2024-52794-Discourse-Stored-XSS

인기