🇰🇷 한글 설명
ApostropheCMS의 import-export 모듈에서 인증된 사용자가 압축 해제 시 크기나 엔트리 수가 제한되지 않은 아카이브를 제출할 수 있는 취약점이 발견되었습니다. 이로 인해 압축 해제 또는 파싱 실패 시 잔여 파일이 정리되지 않고 남을 수 있으며, 이는 서비스 거부(DoS) 공격으로 이어질 가능성이 있습니다.
💡 쉬운 설명
로그인이 가능한 사용자가 아주 크거나 복잡한 압축 파일을 올려서 서버의 저장 공간을 가득 채우거나 시스템을 멈추게 할 수 있는 문제입니다. 파일 처리가 실패해도 찌꺼기 파일이 삭제되지 않고 남아 서버에 부담을 줍니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.1 of the import-export module, an authenticated importer can submit archives whose decompressed bytes, entry count, and entry sizes are not bounded before document-type authorization, and extraction or parsing failures can leave staging and extracted artifacts without unconditional cleanup. The already-hardened pre-authentication and write-error paths are separate, and current end-to-end denial-of-service impact from this residual path remains subject to maintainer validation. This issue is fixed in version 3.7.1.
📍 영향받는 시스템
ApostropheCMS import-export module version 3.7.1 미만
⚔️ 공격 벡터
인증된 사용자가 제한되지 않은 크기의 압축 아카이브 파일을 업로드하여 시스템 자원을 고갈시킴
🛡️ 대응 방법
ApostropheCMS를 버전 3.7.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.7.1보다 낮은지 확인하십시오.
npm list apostrophecms-import-export 2>/dev/null | grep -E 'apostrophecms-import-export@'