🇰🇷 한글 설명
ApostropheCMS의 import-export 모듈 3.7.1 이전 버전에서 POST /api/v1/@apostrophecms/import-export/clean-export API 엔드포인트에 인증 및 권한 확인 절차가 누락되었습니다. 이로 인해 CSRF 쿠키를 획득한 익명의 사용자라도 해당 경로를 직접 호출하여 self.cleanExport(req) 메서드를 실행할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부 사용자도 관리자 권한 없이 특정 명령을 실행할 수 있는 보안 결함이 발견되었습니다. 이로 인해 시스템의 데이터를 정리하거나 조작하는 기능이 악용될 위험이 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.1 of the import-export module, the API endpoint POST /api/v1/@apostrophecms/import-export/clean-export in @apostrophecms/import-export lacks authentication and authorization checks. Any client—including unauthenticated anonymous users who have obtained the standard CSRF cookie from visiting the site—can directly invoke this route and trigger the underlying self.cleanExport(req) method. This issue is fixed in version 3.7.1.
📍 영향받는 시스템
ApostropheCMS import-export module version < 3.7.1
⚔️ 공격 벡터
인증되지 않은 사용자가 CSRF 쿠키를 이용해 특정 API 엔드포인트에 POST 요청을 직접 전송
🛡️ 대응 방법
import-export 모듈을 3.7.1 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 3.7.1 미만인지 확인
npm list @apostrophecms/import-export