[보안패치] 그누보드 4.36.11 > 그누4 다운로드

그누4 다운로드

여러분께서 보고 계시는 이 사이트는 그누보드4 최신버전으로 제작, 운영되고 있습니다.
SIR은 그누보드를 만들 뿐 프로그램의 설치, 운영방법, 설정문제에 관한 도움을 드리지는 않습니다.

[보안패치] 그누보드 4.36.11 정보

[보안패치] 그누보드 4.36.11

첨부파일

gnuboard4.utf8.tgz (1.9M) 3352회 다운로드 2012-12-13 11:44:18
gnuboard4.euckr.tgz (1.8M) 1262회 다운로드 2012-12-13 11:44:18

본문

4.36.11 (2012.12.13)
    :  글읽기에서 실행되는 XSS 취약점 보완
        UN Security팀에서 한국인터넷진흥원을 통하여 알려 주셨습니다.

        lib/common.lib.php 에 아래와 같이 추가합니다.
       
        // <IMG STYLE="xss:e\xpression(alert('XSS'))"></IMG> 와 같은 코드에 취약점이 있어 수정함. 121213
        $content = preg_replace("/(?<=style)(\s*=\s*[\"\']?xss\:)/i", '="__XSS__', $content);
  • 복사

댓글 전체

letsgolee 자기소개 아이디로 검색 회원게시물 12.12.27 23:44:03
보안패치가 잘못되었습니다. 핵심은 xss:에 있는게 아닙니다. 그 뒤에 나오는 expression 함수가 자바스크립트 코드를 사용할 수 있다는 게 핵심일 뿐입니다. 보통 expression을 막아놓는데 그걸 피하기 위해 중간에 역슬레쉬를 넣어서 빠져나갈 수 있다는 겁니다. 위의 패치는 아무 의미없습니다.
목록
문의 PC 버전
© SIRSOFT
현재 페이지 제일 처음으로