🇰🇷 한글 설명
Sulu는 Symfony 프레임워크 기반의 오픈소스 PHP 콘텐츠 관리 시스템입니다. 버전 1.0.0에서 2.6.21까지, 그리고 3.0.0에서 3.0.4까지의 버전에서 관리자 권한을 가진 사용자가 연락처 접근 권한이 없음에도 관리자 API를 통해 연락처의 하위 엔티티에 접근할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
관리자 권한을 가진 일부 사용자가 원래는 볼 수 없어야 할 연락처의 세부 정보를 몰래 볼 수 있는 권한 설정 오류입니다. 소프트웨어를 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Sulu is an open-source PHP content management system based on the Symfony framework. From versions 1.0.0 to before 2.6.22, and 3.0.0 to before 3.0.5, a user which has permission for the Sulu Admin via at least one role could have access to the sub-entities of contacts via the admin API without even have permission for contacts. This issue has been patched in versions 2.6.22 and 3.0.5.
📍 영향받는 시스템
Sulu CMS (1.0.0 ~ 2.6.21 및 3.0.0 ~ 3.0.4)
⚔️ 공격 벡터
관리자 권한이 있는 계정을 이용해 관리자 API로 연락처 하위 엔티티에 비정상적으로 접근
🛡️ 대응 방법
Sulu CMS를 버전 2.6.22 또는 3.0.5 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.6.22 미만(2.x 버전 기준) 또는 3.0.5 미만(3.x 버전 기준)일 경우 취약합니다.
composer show sulu/cms | grep -E 'version'