🇰🇷 한글 설명
Node.js 기반 콘텐츠 관리 시스템인 Ghost의 테마 번역 파일 로드 방식에 취약점이 존재합니다. 인증된 관리자가 조작된 테마를 통해 서버에서 임의의 코드를 실행할 수 있으며, 이는 6.64.0 버전에서 수정되었습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 악성 테마를 업로드하여 서버를 마음대로 조종할 수 있는 보안 결함입니다. 테마의 번역 파일을 불러오는 과정에서 발생하는 문제입니다.
🇺🇸 원문 (English)
Ghost is a Node.js content management system. From 6.10.3 until 6.64.0, a vulnerability in how Ghost loads theme translation files allowed an authenticated Administrator to execute arbitrary code on the server via a crafted theme. This issue is fixed in version 6.64.0.
📍 영향받는 시스템
Ghost CMS 버전 6.10.3 ~ 6.64.0
⚔️ 공격 벡터
인증된 관리자가 조작된 테마 파일을 업로드하여 서버 측 코드 실행(RCE) 유도
🛡️ 대응 방법
Ghost CMS를 최신 버전인 6.64.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Ghost의 버전이 6.64.0 미만인지 확인하십시오.
npm list -g ghost --depth=0 | grep ghost
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Multi-Domain Security Management Server