🇰🇷 한글 설명
오픈 소스 CMS인 Contao의 특정 버전에서 템플릿 출력 시 코드를 주입할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 프론트엔드와 백엔드 모두에서 브라우저 내 코드가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 디자인 틀(템플릿)에 악성 코드를 몰래 끼워 넣을 수 있는 문제입니다. 이 코드가 실행되면 사용자의 브라우저에서 원치 않는 동작이 발생할 수 있습니다.
🇺🇸 원문 (English)
Contao is an Open Source CMS. From version 4.0.0 to before 4.13.57, before 5.3.42, and before 5.6.5, it is possible to inject code into the template output that will be executed in the browser in the front end and back end. This issue has been patched in versions 4.13.57, 5.3.42, and 5.6.5. A workaround for this issue involves not using the affected templates or patch them manually.
📍 영향받는 시스템
Contao 4.0.0 ~ 4.13.56, 5.3.0 ~ 5.3.41, 5.6.0 ~ 5.6.4
⚔️ 공격 벡터
템플릿 출력 과정에 악성 코드를 주입하여 브라우저에서 실행 유도
🛡️ 대응 방법
Contao를 버전 4.13.57, 5.3.42 또는 5.6.5 이상으로 업데이트하거나 취약한 템플릿 사용 중단
🔧 검증 코드
출력된 버전 정보가 취약한 범위(4.13.57 미만, 5.3.42 미만, 5.6.5 미만)에 해당하는지 확인
composer show contao/contao | grep 'versions'