🔍 CVE-2026-25633

4.3
CVSS Score
MEDIUM
2026-02-11
2026-02-12 15:10
✅ 완료

🇰🇷 한글 설명

Statamic CMS에서 자산을 볼 수 없는 사용자가 자산을 다운로드하고 메타데이터를 볼 수 있는 취약점

💡 쉬운 설명

Statamic CMS에서 사용자 권한이 제대로 확인되지 않아 자산을 볼 수 없는 사용자가 자산을 다운로드하고 메타데이터를 볼 수 있습니다. 로그인하지 않은 사용자와 컨트롤 패널에 접근할 수 없는 사용자는 이 취약점을 이용할 수 없습니다.

🇺🇸 원문 (English)

Statamic is a, Laravel + Git powered CMS designed for building websites. Prior to 5.73.6 and 6.2.5, users without permission to view assets are able are able to download them and view their metadata. Logged-out users and users without permission to access the control panel are unable to take advantage of this. This has been fixed in 5.73.6 and 6.2.5.

📍 영향받는 시스템

Statamic CMS 5.73.6 이전 버전과 6.2.5 이전 버전

⚔️ 공격 벡터

사용자 권한 확인 취약점

🛡️ 대응 방법

Statamic CMS를 5.73.6 또는 6.2.5 이상 버전으로 업데이트합니다.

🔧 검증 코드

로컬에서 Python을 실행하여 사용합니다. 예제 URL을 실제 Statamic CMS 주소로 변경하고, 자산 다운로드 URL을 확인하여 테스트합니다.

Shell / Script 
python -c "import requests; response = requests.get('https://example.com/asset/download'); if response.status_code == 200: print('{{"result": "취약", "reason": "자산 다운로드 성공"}}'); else: print('{{"result": "양호", "reason": "자산 다운로드 실패"}}')"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

💻 영향받는 소프트웨어

Git