🇰🇷 한글 설명
Concrete CMS 9(9.0.0~9.5.2) 버전에서 사용자 선택 자동완성 엔드포인트의 권한 검증 미흡으로 인해 발생합니다. 인증되지 않은 공격자가 빈 검색어를 전송하여 시스템 내 모든 관리자의 ID, 사용자 이름, 이메일 주소를 열거할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 관리자들의 이름과 이메일 정보를 몰래 전부 빼낼 수 있는 보안 결함입니다. 이 정보는 향후 더 큰 공격을 위한 기초 자료로 악용될 수 있습니다.
🇺🇸 원문 (English)
Concrete CMS 9 (9.0.0 through 9.5.2) does not perform an authorization check on the user selector autocomplete endpoint (/ccm/system/user/autocomplete), which backs the "Preview as User" panel and other user-selector components. The endpoint validates only a CSRF-style access token that is bound to the selector's display options rather than to the caller's identity or permissions, and that token is issued to anonymous visitors because the selector renders without an authorization check. Because an empty query resolves to a match-all filter, an unauthenticated attacker can submit an empty search and paginate the results to enumerate every backend account, disclosing the internal user ID, username, and email address of all administrative users, including the super-administrator (user ID 1). No password hashes or session material are disclosed The Concrete CMS security team gave this vulnerability a CVSS v4.0 score of 8.7 with vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. Thanks thirtythree and YesWeHack for reporting.
📍 영향받는 시스템
Concrete CMS 9 (9.0.0 ~ 9.5.2)
⚔️ 공격 벡터
인증되지 않은 상태에서 /ccm/system/user/autocomplete 엔드포인트에 빈 쿼리를 전송하여 사용자 목록을 수집
🛡️ 대응 방법
Concrete CMS를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
해당 엔드포인트에 접근했을 때 403 Forbidden 또는 인증 요구 응답이 아닌 200 OK가 반환되면 취약할 가능성이 높습니다.
curl -s -I http://<target_url>/ccm/system/user/autocomplete | grep 'HTTP/'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access