🇰🇷 한글 설명
Node.js 기반 CMS인 Keystone 6의 @keystone-6/core 패키지에서 발생한 보안 취약점입니다. 2.2.0 버전부터 2.3.1 미만 버전까지 multiselect 필드에 설정된 필드 수준 액세스 제어가 제대로 적용되지 않는 문제가 있습니다. 이로 인해 권한이 없는 사용자가 multiselect 필드의 데이터에 접근할 수 있습니다.
💡 쉬운 설명
특정 선택형 입력창(multiselect)에 설정해둔 '보안 잠금장치'가 제대로 작동하지 않는 문제입니다. 이 때문에 허가되지 않은 사람이 해당 칸에 담긴 정보를 몰래 볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
@keystone-6/core is a core package for Keystone 6, a content management system for Node.js. Starting with version 2.2.0 and prior to version 2.3.1, users who expected their `multiselect` fields to use the field-level access control - if configured - are vulnerable to their field-level access control not being used. List-level access control is not affected. Field-level access control for fields other than `multiselect` are not affected. Version 2.3.1 contains a fix for this issue. As a workaround, stop using the `multiselect` field.
📍 영향받는 시스템
@keystone-6/core version 2.2.0 to < 2.3.1
⚔️ 공격 벡터
권한이 없는 사용자가 API 등을 통해 multiselect 필드에 설정된 접근 제어를 우회하여 데이터에 접근
🛡️ 대응 방법
@keystone-6/core 패키지를 2.3.1 버전 이상으로 업데이트하거나, 취약한 multiselect 필드 사용을 중단하십시오.
🔧 검증 코드
출력된 버전이 2.3.1 미만(예: 2.2.0)이면 취약한 상태입니다.
npm list @keystone-6/core