🇰🇷 한글 설명
Node.js 기반 CMS인 Ghost의 2.1.0 버전부터 6.64.0 버전 사이에서 발생하는 취약점입니다. 공격자가 제어하는 웹사이트의 URL을 삽입하면 신뢰할 수 없는 스크립트가 게시물 콘텐츠에 저장될 수 있습니다. 이 스크립트는 에디터, 공개 사이트, 뉴스레터 이메일에서 실행되어 관리자 세션을 탈취할 위험이 있습니다.
💡 쉬운 설명
나쁜 의도를 가진 링크를 게시물에 넣으면 몰래 실행되는 악성 코드가 함께 저장될 수 있습니다. 이 코드가 실행되면 관리자의 계정 권한을 해커가 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Ghost is a Node.js content management system. From 2.1.0 until 6.64.0, embedding a URL from an attacker-controlled website could result in untrusted scripts being stored in post content. These scripts could run in the Ghost editor, on the published site, and in newsletter emails, possibly resulting in compromise of a staff user's admin session. This issue is fixed in version 6.64.0.
📍 영향받는 시스템
Ghost CMS version 2.1.0 ~ 6.64.0
⚔️ 공격 벡터
공격자가 제어하는 웹사이트의 URL을 게시물 콘텐츠에 삽입하여 악성 스크립트 주입
🛡️ 대응 방법
Ghost CMS를 최신 버전인 6.64.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Ghost 버전을 확인하여 6.64.0 미만인지 확인합니다.
npm list -g ghost --depth=0 | grep ghost