🇰🇷 한글 설명
Umbraco 웹 백오피스 프로그램의 특정 버전에서 백오피스 API URL을 조작하여 권한이 없는 폴더 내의 콘텐츠나 미디어를 조회하거나 삭제할 수 있는 취약점이 발견되었습니다. 이 문제는 인증된 백오피스 사용자가 자신의 권한을 넘어선 데이터에 접근할 수 있게 합니다.
💡 쉬운 설명
로그인한 관리자가 원래 볼 수 없는 다른 사람의 파일이나 게시물을 몰래 보거나 지울 수 있는 보안 결함입니다. 주소를 살짝 바꾸는 것만으로도 허용되지 않은 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
Umbraco is a free and open source .NET content management system. In versions of Umbraco's web backoffice program prior to versions 10.8.9 and 13.7.1, via manipulation of backoffice API URLs, it's possible for authenticated backoffice users to retrieve or delete content or media held within folders the editor does not have access to. The issue is patched in versions 10.8.9 and 13.7.1. No known workarounds are available.
📍 영향받는 시스템
Umbraco 10.8.9 및 13.7.1 미만 버전
⚔️ 공격 벡터
인증된 사용자가 백오피스 API URL을 조작하여 권한 밖의 리소스에 접근
🛡️ 대응 방법
Umbraco 버전을 10.8.9 또는 13.7.1 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 패치된 버전(10.8.9 또는 13.7.1 이상)보다 낮으면 취약한 상태입니다.
curl -s http://<target-url>/umbraco/api/version | grep -E '10\.(?!8\.9)|13\.(?!7\.1)'