🇰🇷 한글 설명
Sharkord 0.0.26 미만 버전의 others.changeLogo tRPC 뮤테이션에서 권한 검증이 누락되었습니다. 이로 인해 MANAGE_SETTINGS 권한이 없는 인증된 사용자라도 서버 로고를 임의로 변경할 수 있습니다. 공격자는 기존 로고를 삭제하고 악의적인 이미지를 업로드하여 모든 연결된 클라이언트에 노출시킬 수 있습니다.
💡 쉬운 설명
로그를 바꿀 권한이 없는 일반 회원도 서버의 로고를 마음대로 바꿀 수 있는 보안 결함입니다. 공격자가 이상한 이미지를 올려 모든 사용자에게 보여줄 수 있어 위험합니다.
🇺🇸 원문 (English)
Sharkord before 0.0.26 contains a missing authorization vulnerability in the others.changeLogo tRPC mutation that allows any authenticated member to modify the server logo without the MANAGE_SETTINGS permission. Attackers can remove the current logo and replace it with an uploaded image that is published to every connected client.
📍 영향받는 시스템
Sharkord version < 0.0.26
⚔️ 공격 벡터
인증된 사용자가 권한 없이 others.changeLogo tRPC API를 호출하여 공격 수행
🛡️ 대응 방법
Sharkord를 0.0.26 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.0.26보다 낮으면 취약한 상태입니다.
npm list sharkord | grep -E 'sharkord@([0-9]+\.[0-9]+\.[0-9]+)'