🇰🇷 한글 설명
ApostropheCMS의 import-export 모듈에서 인증 확인 이전에 업로드 미들웨어가 실행되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 업로드 초기화, 청크 저장 및 임시 처리 과정을 수행할 수 있습니다. 해당 문제는 ApostropheCMS 4.33.0 및 import-export 3.7.0 버전에서 수정되었습니다.
💡 쉬운 설명
로그인하지 않은 사용자도 서버에 파일을 올리는 과정을 시작할 수 있는 보안 허점이 있습니다. 공격자가 서버 자원을 사용하게 만들어 시스템에 부담을 줄 수 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0 of ApostropheCMS and 3.7.0 of the import-export module, import routes invoke bigUploadMiddleware without an early authorize callback, allowing unauthenticated requests to perform upload initialization, chunk storage, temporary processing, and attacker-declared cleanup work before the later user check rejects the import. This issue is fixed in ApostropheCMS 4.33.0 and import-export 3.7.0.
📍 영향받는 시스템
ApostropheCMS 4.33.0 미만 및 import-export 모듈 3.7.0 미만 버전
⚔️ 공격 벡터
인증 없이 특정 import 경로로 요청을 보내 업로드 프로세스를 강제로 실행
🛡️ 대응 방법
ApostropheCMS를 4.33.0 이상으로, import-export 모듈을 3.7.0 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.7.0 미만인 경우 해당 취약점에 노출된 상태입니다.
npm list apostrophe-import-export | grep -E 'import-export@([0-3]\.[0-6]\.|[4-9]\.)'