Discourse의 재반박 이모지에서 보안 문제가 발생할 수 있음

제품 지원
1

안녕하세요

사실 서버가 클라이언트가 보낸 이모지가 유효한지 검사하지 않기 때문에, 클라이언트가 이모지의 "title"과 “alt” 속성을 변경할 수 있습니다. <img 요소를 검사 요소(inspect element)로 확인한 뒤 이모지 안에 커스텀 메시지를 보낼 수 있어요. 컴퓨터에 익숙하지 않은 사람들에게는 그 사람이 직접 텍스트를 쓴 것처럼 보일 수 있지만, 실제로는 다른 사용자가 보낸 이모지일 뿐이므로, 기본적으로 사칭(인스퍼네이션)으로 이어질 수 있습니다.

image
image1281×503 62.4 KB

3

이해가 안 됩니다. 예를 들어 설명해 주시겠어요? 이건 공식 플러그인이 아닌 retort처럼 보입니다. Discourse의 리액션은 다르게 렌더링됩니다.

5

아, 외부 플러그인이었군요. 전혀 몰랐습니다.
이모지로 반응할 때, 요청 본문에서 retort가 반환되는 것 같습니다.

6

레포지토리에도 보고되어 있네요, 그렇습니다

7

향후 이곳을 방문하는 사용자들을 위해, 공식 플러그인은 다음과 같습니다:

이 문제는 공식 플러그인에 영향을 미치지 않습니다.