🇰🇷 한글 설명
Payload CMS의 특정 버전에서 비밀번호 해싱에 권장되는 수준보다 낮은 PBKDF2 작업 인자(work factor)를 사용합니다. 이로 인해 탈취된 비밀번호 해시를 무차별 대입 공격으로 복구하는 데 필요한 계산 비용이 낮아져 보안이 취약해집니다.
💡 쉬운 설명
비밀번호를 암호화할 때 사용하는 '자물쇠의 복잡도'가 너무 낮게 설정되어 있습니다. 해커가 암호를 알아내기 위해 시도하는 계산 과정을 훨씬 쉽게 만들어줍니다.
🇺🇸 원문 (English)
Payload is a free and open source headless content management system. Payload versions from 3.0.0 before 3.90.0 and canary versions from 4.0.0-canary.0 before 4.0.0-canary.34 use a lower-than-recommended PBKDF2 work factor for password hashing, reducing the computational effort required to test recovered password hashes. This issue is fixed in versions 3.90.0 and 4.0.0-canary.34.
📍 영향받는 시스템
Payload CMS 3.0.0 ~ 3.90.0 미만 버전 및 4.0.0-canary.0 ~ 4.0.0-canary.34 미만 버전
⚔️ 공격 벡터
탈취된 데이터베이스의 비밀번호 해시를 대상으로 한 오프라인 무차별 대입(Brute-force) 또는 사전 공격
🛡️ 대응 방법
Payload CMS를 3.90.0 또는 4.0.0-canary.34 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 업데이트가 필요한 상태입니다.
npm list payload --depth=0 | grep -E 'payload@(3\.[0-9]{1,2}\.|4\.0\.0-canary\.[0-3][0-3])'