🇰🇷 한글 설명
strapi/review-workflows 패키지에 취약점이 존재하여, 호출자가 기반 문서에 대한 업데이트 권한이 있는지 확인하지 않고 업데이트를 수행할 수 있습니다. 이는 깨진 접근 제어(Broken Access Control) 문제에 해당합니다.
💡 쉬운 설명
이 취약점은 권한이 없는 사용자도 문서를 수정할 수 있게 만드는 보안 결함입니다. 시스템이 수정 권한을 제대로 검사하지 않아 의도하지 않은 변경이 발생할 수 있습니다.
🇺🇸 원문 (English)
The strapi/review-workflows package is vulnerable to a broken access control vulnerability allowing updates to be made without verifying whether the caller possesses update rights for the underlying document.
📍 영향받는 시스템
strapi/review-workflows 패키지를 사용하는 Strapi CMS 환경 (영향받는 정확한 버전은 공식 advisory 확인 필요)
⚔️ 공격 벡터
인증된 낮은 권한의 사용자가 리뷰 워크플로 업데이트 요청을 보내 권한 검증을 우회하여 기존 문서를 수정
🛡️ 대응 방법
strapi/review-workflows 패키지를 패치된 최신 버전으로 업데이트하고 업데이트 시 문서별 권한 검증 로직을 확인
🔧 검증 코드
출력된 설치 버전을 공식 보안 advisory의 취약 버전 범위와 비교하여 해당 여부를 판단하고, 결과가 없으면 패키지가 설치되지 않은 것입니다.
npm ls @strapi/review-workflows 2>/dev/null || grep -r 'review-workflows' package.json 2>/dev/null
💻 영향받는 소프트웨어
IBM Security Verify Access