🇰🇷 한글 설명
ApostropheCMS 4.34.0 미만 버전의 getOne REST 엔드포인트에서 권한 제한 및 필드 수준의 데이터 가림 처리가 적용되지 않는 취약점이 발견되었습니다. 이로 인해 에디터 권한을 가진 사용자가 문서 ID를 알고 있다면 관리자 전용 페이지의 전체 내용과 권한이 필요한 필드에 접근할 수 있습니다.
💡 쉬운 설명
일반 편집자가 특정 문서의 ID만 알면 관리자만 볼 수 있는 비밀 페이지와 내용을 몰래 읽을 수 있는 보안 결함입니다. 목록을 볼 때는 제한이 적용되지만, 특정 페이지를 직접 요청할 때 보안 검사가 누락되는 문제입니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.34.0, the getOne REST endpoint for pages does not apply viewRole type-level restrictions or viewPermission field-level redaction. An editor-level user who knows a document _id can read the full content of admin-only pages and their privileged fields, while the getAll endpoint correctly enforces both restrictions. This issue is fixed in version 4.34.0.
📍 영향받는 시스템
ApostropheCMS 4.34.0 미만 버전
⚔️ 공격 벡터
공격자가 특정 문서의 _id를 사용하여 getOne REST API 엔드포인트에 직접 요청을 보내 데이터 탈취
🛡️ 대응 방법
ApostropheCMS를 보안 패치가 적용된 4.34.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 4.34.0 미만인지 확인하여 취약 여부를 판단합니다.