🇰🇷 한글 설명
Concrete CMS 8.3.0에서 9.5.2 버전 사이에서 캘린더 이벤트 이름을 적절한 검증이나 HTML 이스케이프 없이 저장하고 렌더링하는 취약점이 발견되었습니다. 승인 워크플로우가 적용된 환경에서 등록된 사용자가 악성 스크립트가 포함된 이벤트 이름을 제출하면, 관리자가 대시보드에서 이를 확인할 때 스크립트가 실행되어 관리자 계정을 생성할 수 있습니다.
💡 쉬운 설명
일반 사용자가 캘린더에 가짜 이름을 입력해 관리자의 화면에서 몰래 악성 코드가 실행되게 만드는 보안 약점입니다. 이 공격을 통해 해커가 관리자 권한을 탈취하여 새로운 관리자 계정을 만들 수 있습니다.
🇺🇸 원문 (English)
Concrete CMS 8.3.0 to 9.5.2 stored calendar event names without sanitization and rendered them without HTML escaping in the workflow approval and deletion notifications shown in the dashboard "Waiting For Me" block. A registered user permitted to add events to a calendar governed by an approval workflow could submit an event whose name contained a script payload, which then executed in an administrator's browser when the pending request was displayed and could be used to create a new administrator account. The Concrete CMS security team gave this vulnerability a CVSS v4.0 score of 7.3 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Thanks v01demort for reporting.
📍 영향받는 시스템
Concrete CMS 8.3.0 ~ 9.5.2
⚔️ 공격 벡터
승인 워크플로우를 사용하는 캘린더에 악성 스크립트가 포함된 이벤트 이름을 등록하여 관리자의 대시보드에서 실행 유도
🛡️ 대응 방법
Concrete CMS를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 8.3.0 미만이거나 9.5.2를 초과하는지 확인하여 취약 여부를 판단합니다.
composer show concrete/concrete5 | grep 'versions'