🇰🇷 한글 설명
Node.js 기반 콘텐츠 관리 시스템인 Ghost의 특정 버전에서 입력값 검증 미흡으로 인한 취약점이 발견되었습니다. 이로 인해 권한이 있는 스태프 사용자가 서버 내 의도된 데이터 저장 디렉터리 외부의 로컬 파일에 접근할 수 있습니다. 해당 문제는 버전 6.27.0에서 수정되었습니다.
💡 쉬운 설명
Ghost 관리자 권한을 가진 사용자가 서버의 허용되지 않은 파일들을 몰래 들여다볼 수 있는 문제입니다. 시스템의 중요한 설정 파일이나 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Ghost is a Node.js content management system. From 6.14.0 until 6.27.0, an input validation issue may have allowed staff users to access local files outside the intended data storage directories on the server. This issue is fixed in version 6.27.0.
📍 영향받는 시스템
Ghost CMS 버전 6.14.0 ~ 6.27.0 미만
⚔️ 공격 벡터
스태프 권한을 가진 사용자가 조작된 입력을 통해 경로 탐색(Path Traversal) 공격 수행
🛡️ 대응 방법
Ghost CMS를 최신 버전인 6.27.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Ghost 버전이 6.14.0에서 6.27.0 사이라면 취약한 버전이 설치된 것입니다.
npm list -g ghost-cli || ghost --version 2>/dev/null | grep -E '6\[0-9]\.'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:L
💻 영향받는 소프트웨어
Multi-Domain Security Management Server