🇰🇷 한글 설명
Nextcloud Deck 애플리케이션에서 사용자의 서클(Circle) 멤버십을 제대로 확인하지 않는 취약점이 발견되었습니다. 이로 인해 서클 멤버가 아닌 일반 사용자도 해당 서클과 공유된 보드에 접근할 수 있는 권한 상승 문제가 발생합니다.
💡 쉬운 설명
그룹 멤버가 아닌 사람도 그룹 전용 게시판을 몰래 볼 수 있는 보안 구멍이 발견되었습니다. 이 문제를 해결하려면 앱을 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Deck is an open source kanban style organization tool aimed at personal planning and project organization for teams integrated with Nextcloud. In affected versions the Deck application didn't properly check membership of users in a Circle. This allowed other users in the instance to gain access to boards that have been shared with a Circle, even if the user was not a member of the circle. It is recommended that Nextcloud Deck is upgraded to 1.5.1, 1.4.4 or 1.2.9. If you are unable to update it is advised to disable the Deck plugin.
📍 영향받는 시스템
Nextcloud Deck (1.5.1, 1.4.4, 1.2.9 미만 버전)
⚔️ 공격 벡터
서클 멤버가 아닌 사용자가 권한 검증 미흡을 악용하여 공유된 보드에 직접 접근
🛡️ 대응 방법
Nextcloud Deck을 1.5.1, 1.4.4 또는 1.2.9 버전 이상으로 업데이트하거나 Deck 플러그인을 비활성화
🔧 검증 코드
출력된 Deck 앱의 버전을 확인하여 권장되는 보안 패치 버전보다 낮은지 확인합니다.
php occ app:list | grep deck