🇰🇷 한글 설명
Ghost CMS의 6.34.0부터 6.67.0 버전 사이에서 임베드 카드 기능을 이용한 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor)를 포함한 모든 스태프 사용자가 게시물에 스크립트를 삽입할 수 있으며, 다른 관리자가 해당 게시물을 편집기로 열 때 관리자 세션이 탈취될 위험이 있습니다.
💡 쉬운 설명
게시글 작성 권한이 있는 사람이 몰래 악성 코드를 심어둘 수 있는 보안 약점입니다. 다른 관리자가 그 글을 확인하는 순간 관리자 권한을 통째로 빼앗길 수 있습니다.
🇺🇸 원문 (English)
Ghost is a Node.js content management system. From version 6.34.0 until 6.67.0, embed cards in the Ghost editor could bypass protections against stored cross-site scripting. Any staff user, including Contributors, could store scripts in post content that ran when another staff user opened the post in the editor, potentially compromising that user’s admin session. Self-hosted sites should leave the new security.embedPreviewUrl configuration option at its default value. This issue is fixed in version 6.67.0.
📍 영향받는 시스템
Ghost CMS version 6.34.0 ~ 6.67.0
⚔️ 공격 벡터
임베드 카드 기능을 악용한 저장형 XSS (Stored Cross-Site Scripting)
🛡️ 대응 방법
Ghost CMS를 최신 버전인 6.67.0 이상으로 업데이트하고 security.embedPreviewUrl 설정을 기본값으로 유지하십시오.
🔧 검증 코드
출력된 Ghost 버전이 6.67.0 미만인지 확인하여 취약 여부를 판단합니다.
npm list -g ghost --depth=0 | grep ghost