RSS 리더의 XSS 보안 취약점

[daybreaker]

RSS 리더에서 RSS에 삽입된 특정 자바스크립트를 통해 세션 쿠키를 빼낼 가능성이 있는 보안 취약점이 발견되었습니다. 이를 방지하기 위해 RSS를 볼 때 Javascript를 필터링할 수 있는 옵션이 구현되어 있지만 이를 우회하는 방법이 존재하여 관련한 처리를 더욱 강화합니다.

[daybreaker]

앗, 깜빡하고 커밋로그 형식에서 티켓 번호 참조 문구를 빼먹었군요. r6477, r6478에서 trunk에 우선 적용해보았습니다.

1.5, 1.6, 1.7 버전에 적용하는 것과 더불어, checkup을 통해 기본 설정을 강제 적용할지 여부를 선택해야 할 것 같습니다.

[daybreaker]

아악, 6477, 6478이 아니고 r6747, r6748 입니다.;;

[inureyes]

[6758]

refs #1107

• [6747] [6748] 을 1.7 트리에 반영

[inureyes]

[6760]

refs #1107

• [6747] [6748] 을 1.5 트리에 반영

[inureyes]

[6759] 해당 티켓 번호를 잘 못 적었네요;