🇰🇷 한글 설명
Plone 4.x와 5.x의 Python 문자열 포맷 메서드 처리 취약점으로, 공격자가 샌드박스 보안을 우회하고 시스템의 민감한 정보에 접근할 수 있습니다. 이는 템플릿 엔진이 사용자 입력을 부적절하게 검증할 때 발생합니다.
💡 쉬운 설명
Plone 웹사이트 엔진에서 텍스트를 처리할 때 보안 규칙을 우회할 수 있는 약점이 있습니다. 공격자가 이를 악용하면 서버의 숨겨진 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
Plone 4.x through 4.3.11 and 5.x through 5.0.6 allow remote attackers to bypass a sandbox protection mechanism and obtain sensitive information by leveraging the Python string format method.
📍 영향받는 시스템
Plone 4.0 ~ 4.3.11, Plone 5.0 ~ 5.0.6
⚔️ 공격 벡터
템플릿에 악의적인 포맷 문자열({0}, {__class__} 등) 삽입으로 Python 객체 접근 및 정보 유출
🛡️ 대응 방법
Plone을 4.3.12 이상 또는 5.0.7 이상으로 즉시 업그레이드하십시오
🔧 검증 코드
버전이 4.3.12 미만 또는 5.0.0~5.0.6 범위면 취약함; 4.3.12 이상 또는 5.0.7 이상이면 안전
python -c "import plone; print(plone.__version__)" 2>/dev/null || pip show Plone 2>/dev/null | grep Version