🇰🇷 한글 설명
Coolify 4.0.0-beta.474 미만 버전에서 POST /api/feedback 엔드포인트에 인증, 속도 제한 및 입력 검증 기능이 결여되어 있습니다. 이로 인해 공격자가 임의의 콘텐츠를 Discord 웹훅으로 직접 전달하여 스팸, 콘텐츠 주입 및 웹훅 남용을 수행할 수 있습니다.
💡 쉬운 설명
Coolify 관리 도구의 피드백 기능에 보안 장치가 없어, 누구나 가짜 메시지를 보내 Discord 채널을 스팸으로 도배할 수 있는 문제입니다. 공격자가 악성 내용을 담은 메시지를 마음대로 보낼 수 있어 서비스 운영에 방해가 될 수 있습니다.
🇺🇸 원문 (English)
Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Prior to 4.0.0-beta.474, POST /api/feedback has no authentication, no rate limiting, and no input validation, allowing arbitrary content to be forwarded directly to a Discord webhook and enabling spam, content injection, and webhook abuse. This issue is fixed in version 4.0.0-beta.474.
📍 영향받는 시스템
Coolify 4.0.0-beta.474 미만 모든 버전
⚔️ 공격 벡터
인증 없이 POST /api/feedback API 엔드포인트에 조작된 데이터를 전송하여 Discord 웹훅을 악용
🛡️ 대응 방법
Coolify를 최신 버전인 4.0.0-beta.474 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 4.0.0-beta.474 이상의 버전 정보가 포함되어 있으면 안전합니다.
curl -s http://<your-coolify-instance>/api/version | grep -E '4.0.0-beta.474'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server