🇰🇷 한글 설명
Kottster 노드.js 관리 패널의 개발 모드에서 인증 없이 원격 코드를 실행할 수 있는 취약점. 버전 3.2.0~3.3.1에 영향을 받으며 3.3.2에서 수정됨. 프로덕션 배포는 영향받지 않음.
💡 쉬운 설명
Kottster 개발 버전에서 누구나 로그인 없이 서버를 제어할 수 있는 버그가 있었습니다. 최신 버전(3.3.2)에서는 이미 수정되었고 실제 운영 서버는 안전합니다.
🇺🇸 원문 (English)
Kottster is a self hosted Node.js admin panel. From versions 3.2.0 to before 3.3.2, Kottster contains a pre-authentication remote code execution (RCE) vulnerability when running in development mode. This affects development mode only, production deployments were never affected. This issue has been fixed in version 3.3.2.
📍 영향받는 시스템
Kottster 3.2.0 ~ 3.3.1 (개발 모드만)
⚔️ 공격 벡터
개발 모드에서 인증 우회 후 원격 코드 실행 가능
🛡️ 대응 방법
Kottster를 3.3.2 이상으로 업그레이드하거나 프로덕션 모드 사용
🔧 검증 코드
버전이 3.3.2 이상이면 안전, 3.2.0~3.3.1이면 즉시 업그레이드 필요
npm list kottster 2>/dev/null | grep kottster | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'