🇰🇷 한글 설명
ApostropheCMS 4.33.0 미만 버전에서 발생하는 취약점으로, 권한이 있는 편집자가 제한된 부모 페이지 아래에 있는 일반 페이지의 순서를 변경할 수 있습니다. 이 과정에서 부모 페이지에 대한 생성 권한 없이도 형제 페이지들의 순위(rank)를 변경할 수 있는 권한 우회 문제가 존재합니다. 해당 문제는 4.33.0 버전에서 수정되었습니다.
💡 쉬운 설명
정해진 규칙을 벗어나 페이지를 관리해야 하는 편집자가, 권한이 없는 상위 폴더 내의 페이지 순서를 마음대로 바꿀 수 있는 문제입니다. 페이지의 내용을 바꾸거나 새로 만들 수는 없지만, 정해진 목록의 순서를 조작할 수 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, an authenticated editor with legitimate edit rights on a pre-existing ordinary page nested under a restricted parent can use the same-parent page move operation to change sibling ranks without create authorization on that parent. The non-default nesting must already exist, and the bypass is limited to sibling ordering rather than arbitrary content modification, confidentiality loss, or creation of the restricted nesting. This issue is fixed in version 4.33.0.
📍 영향받는 시스템
ApostropheCMS 4.33.0 미만 버전
⚔️ 공격 벡터
인증된 편집자가 동일한 부모를 가진 페이지의 이동(move) 기능을 사용하여 형제 페이지의 순위를 변경
🛡️ 대응 방법
ApostropheCMS를 최신 버전인 4.33.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.33.0보다 낮으면 취약한 상태이며, 4.33.0 이상이면 안전합니다.
npm list apostrophecms | grep -E 'apostrophecms@([0-9]{1,2}\.[0-9]{1,2}\.[0-9]{1,2})'