🇰🇷 한글 설명
Statamic은 Laravel과 Git 기반의 콘텐츠 관리 시스템(CMS)입니다. 버전 5.7.12부터 5.73.16 미만 및 6.7.2 미만에서, 제어판 사용자가 Antlers 템플릿 엔진이 활성화된 필드에 접근할 수 있는 경우 콘텐츠에 설정 변수를 삽입하여 민감한 애플리케이션 설정값에 접근할 수 있습니다. 이 취약점은 5.73.16 및 6.7.2 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트 관리 도구(Statamic CMS)에서 편집 권한을 가진 사용자가 특수한 코드를 입력하여 데이터베이스 비밀번호나 API 키 같은 중요한 설정 정보를 훔칠 수 있는 취약점입니다. 마치 메모장에 특수 명령어를 적으면 서버의 비밀 정보가 화면에 표시되는 것과 같습니다.
🇺🇸 원문 (English)
Statamic is a Laravel and Git powered content management system (CMS). Starting in version 5.7.12 and prior to versions 5.73.16 and 6.7.2, a control panel user with access to Antlers-enabled fields could access sensitive application configuration values by inserting config variables into their content. This has been fixed in 5.73.16 and 6.7.2.
📍 영향받는 시스템
Statamic CMS 버전 5.7.12 이상 ~ 5.73.16 미만, 6.x ~ 6.7.2 미만
⚔️ 공격 벡터
제어판 접근 권한을 가진 인증된 사용자가 Antlers 템플릿 문법({config:app.key} 등)을 편집 가능한 필드에 삽입하여 민감한 환경 변수 및 설정값 노출
🛡️ 대응 방법
Statamic을 5.73.16 또는 6.7.2 이상으로 업그레이드: composer require statamic/cms:^5.73.16 또는 composer require statamic/cms:^6.7.2
🔧 검증 코드
출력된 버전이 5.73.16 미만이거나 6.7.2 미만이면 취약, 해당 버전 이상이면 패치 완료 상태
composer show statamic/cms 2>/dev/null | grep -E 'versions|version'