🇰🇷 한글 설명
ApostropheCMS 4.33.0 미만 버전에서 REST API가 페이지 권한 설정을 무시하고 전체 문서를 읽어오는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자나 권한이 낮은 사용자가 관리자 전용 또는 비공개 페이지 콘텐츠를 열람할 수 있습니다.
💡 쉬운 설명
웹사이트 관리 도구의 보안 설정이 제대로 작동하지 않아, 아무나 볼 수 없어야 할 비밀 페이지 내용을 몰래 읽을 수 있는 문제입니다. 로그인하지 않은 사람도 특정 주소를 알면 관리자용 정보를 볼 수 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, the core page REST API reads full page documents with .permission(false) in getOne and in the all=1 tree dump, bypassing page-type viewRole, visibility: private, and visibility: loginRequired checks. Unauthenticated visitors and low-privilege contributors can read admin-only and non-public page content by _id/slug. This issue is fixed in version 4.33.0.
📍 영향받는 시스템
ApostropheCMS 4.33.0 미만 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 REST API의 특정 ID 또는 슬러그(slug)를 통해 비공개 페이지에 직접 접근
🛡️ 대응 방법
ApostropheCMS를 최신 버전인 4.33.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 버전이 출력되면 취약한 버전이 설치된 것이며, 아무 결과도 나오지 않으면 안전합니다.
npm list apostrophecms | grep -E 'apostrophecms@([0-4]\.[0-3][0-2]\.|[0-4]\.[3][0-2]\.)'