🇰🇷 한글 설명
Masa CMS의 특정 버전에서 발생하는 원격 코드 실행(RCE) 취약점입니다. addParam 함수의 criteria 파라미터를 통해 입력된 사용자 데이터가 setDynamicContent에 의해 평가되면서, 인증되지 않은 공격자가 m 태그를 이용해 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
해커가 아이디나 비밀번호 없이도 웹사이트에 몰래 침입하여 마음대로 명령을 내릴 수 있는 심각한 보안 구멍입니다. 공격자가 특수한 코드를 입력하면 서버가 이를 정상적인 명령으로 착각하고 실행하게 됩니다.
🇺🇸 원문 (English)
Masa CMS is an open source Enterprise Content Management platform. Masa CMS versions prior to 7.2.8, 7.3.13, and 7.4.6 are vulnerable to remote code execution. The vulnerability exists in the addParam function, which accepts user input via the criteria parameter. This input is subsequently evaluated by setDynamicContent, allowing an unauthenticated attacker to execute arbitrary code via the m tag. The vulnerability is patched in versions 7.2.8, 7.3.13, and 7.4.6.
📍 영향받는 시스템
Masa CMS 7.2.8, 7.3.13, 7.4.6 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 criteria 파라미터에 m 태그를 포함한 악성 입력을 전송하여 공격
🛡️ 대응 방법
Masa CMS를 최신 패치 버전(7.2.8, 7.3.13 또는 7.4.6 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 버전 번호가 패치된 버전(7.2.8, 7.3.13, 7.4.6)보다 낮은지 확인하십시오.
grep -r "Masa CMS" /path/to/cms/config/version.txt 2>/dev/null || echo 'Version check required'