🇰🇷 한글 설명
Grav CMS의 관리자 플러그인에서 발견된 저장형 XSS 취약점입니다. /admin/accounts/groups/Grupo 엔드포인트의 data[readableName] 파라미터에 악성 스크립트를 삽입할 수 있으며, 해당 페이지를 방문하는 사용자에게 스크립트가 자동 실행됩니다.
💡 쉬운 설명
관리자 설정 화면의 특정 입력창에 악성 코드를 몰래 저장해두는 공격입니다. 이 코드가 저장되면 관리자가 해당 페이지를 열 때마다 해커가 의도한 동작이 자동으로 실행될 수 있습니다.
🇺🇸 원문 (English)
This admin plugin for Grav is an HTML user interface that provides a convenient way to configure Grav and easily create and modify pages. Prior to 1.11.0-beta.1, a Stored Cross-Site Scripting (XSS) vulnerability was identified in the /admin/accounts/groups/Grupo endpoint of the Grav application. This vulnerability allows attackers to inject malicious scripts into the data[readableName] parameter. The injected scripts are stored on the server and executed automatically whenever the affected page is accessed by users, posing a significant security risk. This vulnerability is fixed in 1.11.0-beta.1.
📍 영향받는 시스템
Grav CMS Admin Plugin (1.11.0-beta.1 미만 버전)
⚔️ 공격 벡터
data[readableName] 파라미터를 통한 악성 스크립트 주입 (Stored XSS)
🛡️ 대응 방법
Grav CMS를 1.11.0-beta.1 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 Grav의 버전 정보를 확인하여 1.11.0-beta.1 미만인지 확인하십시오.
grep -r "Grav" /path/to/grav/user/config/ | grep "version" || echo "Version check required via manual file inspection"