🇰🇷 한글 설명
Strapi 오픈소스 헤드리스 CMS의 기본 설정에서 CORS 설정 오류가 발견되었습니다. 공격자가 Origin 헤더 값을 검증 없이 반사하여 다른 도메인에서 인증 정보를 포함한 요청을 보낼 수 있습니다. 이 취약점은 5.20.0 미만 버전에서 발생합니다.
💡 쉬운 설명
웹사이트의 보안 규칙이 제대로 설정되지 않아, 나쁜 의도를 가진 다른 사이트가 사용자의 권한을 도용해 Strapi 서버에 접근할 수 있는 문제입니다. 사용자가 로그인된 상태에서 악성 사이트를 방문하면 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Strapi is an open source headless content management system. Strapi versions prior to 5.20.0 contain a CORS misconfiguration vulnerability in default installations. By default, Strapi reflects the value of the Origin header back in the Access-Control-Allow-Origin response header without proper validation or whitelisting. This allows an attacker-controlled site to send credentialed requests to the Strapi backend. An attacker can exploit this by hosting a malicious site on a different origin (e.g., different port) and sending requests with credentials to the Strapi API. The vulnerability is fixed in version 5.20.0. No known workarounds exist.
📍 영향받는 시스템
Strapi versions prior to 5.20.0
⚔️ 공격 벡터
공격자가 제어하는 악성 사이트에서 Origin 헤더를 조작하여 인증 정보가 포함된 API 요청을 전송
🛡️ 대응 방법
Strapi를 최신 버전인 5.20.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 strapi 버전이 5.20.0 미만으로 표시되면 취약한 상태입니다.
npm list strapi --depth=0 | grep -E 'strapi@([0-4]\.|5\.(0|1|9)\.)'