🇰🇷 한글 설명
ApostropheCMS의 4.33.0 미만 버전에서 비밀번호 변경 엔드포인트가 로그인 모듈의 실패 횟수 제한, 속도 제한 또는 계정 잠금 메커니즘을 사용하지 않는 취약점이 발견되었습니다. 인증된 세션을 가진 공격자는 계정 잠금 없이 현재 비밀번호를 반복적으로 추측하여 시도할 수 있습니다.
💡 쉬운 설명
로그인할 때는 비밀번호를 여러 번 틀리면 계정이 잠기지만, 비밀번호를 변경할 때는 이 규칙이 적용되지 않는 문제입니다. 따라서 해커가 사용자의 현재 비밀번호를 알아내기 위해 무차별 대입 공격을 시도하기 쉽습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0, the self-service password-change endpoint verifies the current password but does not use the login module’s failed-attempt counter, throttle, delay, or lockout mechanism. An attacker with a valid authenticated session can submit repeated guesses for the current password without receiving a lockout or throttle response. This issue is fixed in version 4.33.0.
📍 영향받는 시스템
ApostropheCMS 4.33.0 미만 버전
⚔️ 공격 벡터
인증된 세션을 이용한 현재 비밀번호 무차별 대입(Brute-force) 공격
🛡️ 대응 방법
ApostropheCMS를 4.33.0 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.33.0 미만인 경우 해당 취약점에 노출된 상태입니다.
npm list apostrophecms | grep -E 'apostrophecms@([0-3]\.[0-9]{2}|4\.[0-3]{2})'