🇰🇷 한글 설명
ApostropheCMS의 CLI 패키지 3.6.0 이하 버전에서 비밀번호 입력값이 셸 명령어에 직접 삽입되며, 이는 임의의 명령어 실행 취약점으로 이어집니다. 사용자의 입력값이 적절히 검증되지 않아 호스트 시스템에서 임의의 코드가 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 비밀번호를 묻는 창에서 입력받은 내용을 그대로 시스템 명령어로 처리하는 오류가 있습니다. 해커가 악의적인 비밀번호를 입력하면 컴퓨터의 다른 명령어를 마음대로 실행당할 수 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Versions of the @apostrophecms/cli package up to and including 3.6.0 contain a command injection vulnerability in the apos create command. User-supplied input from the password prompt is embedded directly into a shell command without proper sanitization or escaping. This allows execution of arbitrary commands on the host system. As of time of publication, no known patched versions are available.
📍 영향받는 시스템
@apostrophecms/cli <= 3.6.0
⚔️ 공격 벡터
apos create 명령어 실행 시 비밀번호 프롬프트를 통해 악성 입력값 제공
🛡️ 대응 방법
패치 버전 출시 전까지 입력값 검증 강화 또는 해당 명령어 사용 자제
🔧 검증 코드
출력된 버전 번호가 3.6.0 이하이거나 '3.6.0'인 경우 취약한 버전으로 판단
npm list @apostrophecms/cli 2>/dev/null | grep -E '@apostrophecms/cli@'