🇰🇷 한글 설명
Payload는 무료 오픈소스 헤드리스 CMS입니다. @payloadcms/next 3.78.0 이전 버전의 관리자 패널에는 저장형 XSS 취약점이 존재합니다. 특정 컬렉션에 쓰기 권한이 있는 인증된 사용자가 콘텐츠를 저장할 수 있으며, 이 콘텐츠를 다른 사용자가 열람하면 해당 사용자의 브라우저에서 스크립트가 실행됩니다. 이 문제는 3.78.0 버전에서 패치되었습니다.
💡 쉬운 설명
권한이 있는 사용자가 관리자 화면에 악성 스크립트가 담긴 내용을 저장할 수 있습니다. 다른 관리자가 그 내용을 보면 스크립트가 몰래 실행되어 계정 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
Payload is a free and open source headless content management system. Prior to version 3.78.0 in @payloadcms/next, a stored Cross-Site Scripting (XSS) vulnerability existed in the admin panel. An authenticated user with write access to a collection could save content that, when viewed by another user, would execute in their browser. This issue has been patched in version 3.78.0.
📍 영향받는 시스템
@payloadcms/next 3.78.0 미만 버전을 사용하는 Payload CMS 설치 환경
⚔️ 공격 벡터
쓰기 권한이 있는 인증 사용자가 악성 스크립트를 포함한 콘텐츠를 저장하고, 다른 사용자가 이를 열람할 때 브라우저에서 실행됨
🛡️ 대응 방법
@payloadcms/next 패키지를 3.78.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 3.78.0 미만이면 취약하므로 업그레이드가 필요하고, 3.78.0 이상이면 패치가 적용된 상태입니다.
npm ls @payloadcms/next 2>/dev/null | grep @payloadcms/next