🇰🇷 한글 설명
Contao CMS 5.7.1부터 5.7.12 버전 사이에서 서비스 설정 오류로 인해 권한 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 관리자 권한이 없는 사용자가 다른 사용자의 미리보기 링크를 탈취하여 게시되지 않은 페이지를 열람할 수 있습니다.
💡 쉬운 설명
웹사이트 관리 도구의 설정 실수로 인해, 권한이 없는 일반 사용자가 남의 비밀 페이지를 몰래 볼 수 있는 문제입니다. 다른 사람이 만든 미리보기 주소를 가로채서 비공개 내용을 확인할 수 있습니다.
🇺🇸 원문 (English)
Contao is an Open Source CMS. From version 5.7.1 until 5.7.12, core-bundle/config/services.yaml registers the preview access voter as Contao\CoreBundle\Security\Voter\DataContainer\PreviewAccessVoter although the shipped class is PreviewVoter. Symfony therefore omits voter autoconfiguration and removes the private service, so PreviewVoter::hasAccess() never enforces ownership. A non-admin backend user with the preview_link module can list every tl_preview_link record, obtain signed share URLs created by other users, and use them to view unpublished pages with showUnpublished despite lacking page permission. The advisory does not establish editing or deletion of foreign links. This issue is fixed in version 5.7.12.
📍 영향받는 시스템
Contao CMS 5.7.1 ~ 5.7.12
⚔️ 공격 벡터
권한이 낮은 백엔드 사용자가 preview_link 모듈을 통해 타인의 서명된 공유 URL을 획득하여 비공개 페이지에 접근
🛡️ 대응 방법
Contao CMS를 최신 보안 패치가 적용된 버전인 5.7.12 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 5.7.12 미만(예: 5.7.1 ~ 5.7.11)인지 확인하십시오.
composer show contao/core | grep 'versions'