🇰🇷 한글 설명
ApostropheCMS의 import-export 모듈 3.7.0 미만 버전에서 발생하는 취약점입니다. 인증된 사용자가 특정 타입에 대한 가져오기 권한이 있을 경우, 업데이트 키 값에 객체나 연산자를 입력하여 의도하지 않은 기존 문서를 매칭시키고 수정할 수 있습니다. 다만, findForEditing 권한 필터가 적용되므로 권한이 없는 보호된 콘텐츠를 임의로 덮어쓰는 것은 불가능합니다.
💡 쉬운 설명
시스템에 로그인한 사용자가 특수한 명령어를 입력하여, 원래 수정하면 안 되는 다른 문서를 찾아내어 내용을 바꿀 수 있는 문제입니다. 하지만 사용자가 원래 가지고 있던 권한 범위 내에서만 수정이 가능하므로 전체 시스템이 위험해지는 것은 아닙니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 3.7.0 of the import-export module, an authenticated user with import access to a target type can supply an object or operator as an update-key value, causing the import query to match an unidentified existing document that the user has generic edit permission to modify. The normal findForEditing permission filter still limits the candidate documents, so the issue does not permit permission-free overwrite of arbitrary protected content. This issue is fixed in version 3.7.0.
📍 영향받는 시스템
ApostropheCMS import-export module version < 3.7.0
⚔️ 공격 벡터
인증된 사용자가 import 기능을 통해 조작된 객체 또는 연산자를 update-key 값으로 전달
🛡️ 대응 방법
ApostropheCMS import-export 모듈을 3.7.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.7.0 미만이면 취약한 상태이며, 3.7.0 이상이면 안전합니다.
npm list @apostrophecms/import-export 2>/dev/null | grep -E '@apostrophecms/import-export@'