🇰🇷 한글 설명
ApostropheCMS 4.34.0 미만 버전에서 프로젝트 정의 자유 형식 위젯 스타일 필드에 HTML 속성 인코딩이 적용되지 않는 취약점이 발견되었습니다. 공격자가 편집 가능한 따옴표를 삽입하여 인라인 스타일 속성을 종료하고 실행 가능한 속성을 주입할 수 있습니다. 이 문제는 게시된 콘텐츠나 상위 권한 사용자가 보는 초안이 렌더링될 때 발생합니다.
💡 쉬운 설명
웹사이트 관리 도구의 스타일 설정 칸에 특수 문자를 넣어 악성 코드를 몰래 심을 수 있는 문제입니다. 이 코드는 관리자가 해당 페이지를 볼 때 실행되어 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.34.0, a project-defined free-form widget style field can carry an editor-controlled quote into an inline style attribute because the wrapper serializer does not apply HTML-attribute encoding. The quote can terminate the style attribute and inject executable attributes when published content, or an affected draft viewed by a higher-privileged user, is rendered. This issue is fixed in version 4.34.0.
📍 영향받는 시스템
ApostropheCMS 4.34.0 미만 버전
⚔️ 공격 벡터
위젯 스타일 필드에 인코딩되지 않은 따옴표를 삽입하여 HTML 속성 주입(Attribute Injection) 수행
🛡️ 대응 방법
ApostropheCMS를 최신 버전인 4.34.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 4.34.0 미만의 버전이 표시되면 취약한 상태이며, 4.34.0 이상이 표시되면 안전합니다.
npm list apostrophecms | grep -E 'apostrophecms@([0-4]\.[0-3][0-9]\.[0-9]|4\.34\.0)'