🇰🇷 한글 설명
Node.js 기반 CMS인 Ghost의 6.56.0부터 6.67.0 버전 사이에서 SVG 처리 라이브러리의 취약점이 발견되었습니다. 기여자(Contributor)를 포함한 스태프 권한을 가진 사용자가 공격자가 제어하는 웹사이트의 북마크 카드를 생성함으로써 서버에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
Ghost CMS를 사용하는 관리자 권한이 있는 사람이 악성 링크를 북마크로 등록하면, 해커가 서버를 마음대로 조종할 수 있는 보안 구멍이 있습니다. 이 문제는 이미지 처리 과정에서 발생하는 오류를 이용한 것입니다.
🇺🇸 원문 (English)
Ghost is a Node.js content management system. From 6.56.0 until 6.67.0, an image processing library bundled with Ghost contained a vulnerability in its SVG handling. Any staff user, including Contributors, could create a bookmark card for an attacker-controlled website, resulting in arbitrary commands being run on the Ghost server. This issue is fixed in version 6.67.0.
📍 영향받는 시스템
Ghost CMS version 6.56.0 ~ 6.67.0
⚔️ 공격 벡터
스태프 권한을 이용한 악성 SVG 포함 북마크 카드 생성 및 서버 명령 실행
🛡️ 대응 방법
Ghost CMS를 최신 버전인 6.67.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Ghost 버전을 확인하여 6.67.0 미만인지 체크합니다.
npm list -g ghost --depth=0 | grep ghost
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Multi-Domain Security Management Server