🇰🇷 한글 설명
blueprintUE 4.2.0 미만 버전의 /profile/{slug}/edit/ 경로에 있는 비밀번호 변경 양식에 기존 비밀번호 확인 절차가 누락되어 있습니다. 공격자가 XSS나 세션 탈취 등을 통해 인증된 세션을 획득할 경우, 기존 비밀번호를 몰라도 즉시 비밀번호를 변경하여 계정을 완전히 탈취할 수 있습니다.
💡 쉬운 설명
로그인된 상태를 가로챈 해커가 현재 비밀번호를 몰라도 사용자의 비밀번호를 마음대로 바꿀 수 있는 보안 결함입니다. 이로 인해 계정의 주인이 해커로 바뀌어 버릴 위험이 있습니다.
🇺🇸 원문 (English)
blueprintUE is a tool to help Unreal Engine developers. Prior to 4.2.0, the password change form at /profile/{slug}/edit/ does not include a current_password field and does not verify the user's existing password before accepting a new one. Any attacker who obtains a valid authenticated session — through XSS exploitation, session sidejacking over HTTP, physical access to a logged-in browser, or a stolen "remember me" cookie — can immediately change the account password without knowing the original credential, resulting in permanent account takeover. This vulnerability is fixed in 4.2.0.
📍 영향받는 시스템
blueprintUE 버전 4.2.0 미만
⚔️ 공격 벡터
XSS, 세션 하이재킹, 쿠키 탈취 등을 통해 획득한 인증 세션을 이용한 비밀번호 변경 시도
🛡️ 대응 방법
blueprintUE를 4.2.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
해당 도구의 버전 정보를 확인하여 4.2.0 미만인지 확인하십시오.
curl -s https://blueprintue.com/ | grep -i 'version' || echo 'Manual version check required'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access