🇰🇷 한글 설명
ApostropheCMS 4.33.0 미만 버전에서 익명 방문자에게 viewRole 권한이 제대로 적용되지 않는 취약점이 발견되었습니다. 개발자가 공개된 API나 템플릿을 통해 사용자 객체를 노출할 경우, 의도치 않게 사용자 필드 정보가 유출될 수 있습니다. 다만 비밀번호 해시는 별도로 저장되어 있어 직접적인 유출은 발생하지 않습니다.
💡 쉬운 설명
로그인을 하지 않은 방문자에게도 보여주지 말아야 할 사용자 정보가 일부 노출될 수 있는 문제입니다. 웹사이트 설정 실수와 결합될 경우 개인정보가 일부 드러날 위험이 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, viewRole is not applied to anonymous visitors when a developer exposes user objects through a publicly rendered relationship or expressly enabled public API. Inadequately limited templates, including serialization of an entire related user object, can conditionally disclose user fields, but relationships do not automatically publish full user objects and password hashes are stored separately and are not affected. This issue is fixed in version 4.33.0.
📍 영향받는 시스템
ApostropheCMS 4.33.0 미만 버전
⚔️ 공격 벡터
공개된 API 또는 템플릿을 통해 노출된 사용자 객체 관계를 이용한 정보 유출
🛡️ 대응 방법
ApostropheCMS를 최신 버전인 4.33.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.33.0보다 낮으면 취약한 상태입니다.
npm list apostrophe-cms | grep -E 'apostrophe-cms@([0-9]{1,2}\.[0-9]{1,2}\.[0-9]{1,2})'