🇰🇷 한글 설명
ApostropheCMS의 import-export 모듈 및 코어 시스템에서 권한 관리 결함이 발견되었습니다. 특정 권한을 가진 편집자가 게시 권한 없이도 콘텐츠를 가져오는 과정에서 게시된 버전을 생성, 교체 또는 삭제할 수 있습니다.
💡 쉬운 설명
콘텐츠를 수정할 권한이 부족한 사용자도 데이터를 불러오는 기능을 이용해 이미 게시된 글을 마음대로 바꾸거나 지울 수 있는 보안 약점입니다. 이는 시스템의 게시 관리 규칙을 우회할 수 있게 만듭니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.1 of the import-export module and 4.34.0 of core ApostropheCMS, an editor who can import an enabled content type but lacks its stronger publication role can cause import write helpers to create, replace, or remove published variants without the normal publish permission and lifecycle checks. This issue is fixed in import-export 3.7.1 and ApostropheCMS 4.34.0.
📍 영향받는 시스템
ApostropheCMS core < 4.34.0 및 import-export module < 3.7.1
⚔️ 공격 벡터
권한이 제한된 편집자가 import-export 기능을 사용하여 게시된 콘텐츠의 라이프사이클 체크를 우회함
🛡️ 대응 방법
import-export 모듈을 3.7.1 이상으로, ApostropheCMS 코어를 4.34.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 각각 4.34.0 및 3.7.1 미만인지 확인하여 취약 여부를 판단합니다.
npm list apostrophe-cms import-export | grep -E 'apostrophe-cms@|import-export@'