🇰🇷 한글 설명
Qexo 4.0.0부터 4.2.0 버전까지 인증 및 권한 검증 없이 /api/init_step/ API에 접근할 수 있는 취약점이 존재합니다. 공격자가 CSRF 토큰을 이용해 초기화 단계를 재실행하면 설정이 초기화되며, 이 과정에서 서비스 자격 증명이 포함된 설정 정보가 노출될 수 있습니다.
💡 쉬운 설명
웹사이트 설정 페이지를 누구나 몰래 다시 실행할 수 있는 보안 구멍이 발견되었습니다. 이 과정에서 관리자 비밀번호나 중요한 서비스 연결 정보가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Qexo is an open source online editor for static blogs. From 4.0.0 until 4.2.0, Qexo exposes /api/init_step/ through init_step_api without authentication, authorization, or a setup-completion guard. An unauthenticated requester with a valid CSRF token obtained from a public page can submit the first initialization step and reset the INIT setting, causing the instance to re-enter the setup flow. The setup response and /init/ page can expose stored PROVIDER configuration, including service credentials, in frontend content. This issue is fixed in version 4.2.0.
📍 영향받는 시스템
Qexo 4.0.0 ~ 4.2.0
⚔️ 공격 벡터
인증되지 않은 공격자가 유효한 CSRF 토큰을 사용하여 초기화 API를 호출함으로써 발생
🛡️ 대응 방법
Qexo를 최신 버전인 4.2.0 이상으로 업데이트하십시오.
🔧 검증 코드
API 호출 시 인증 오류가 발생하지 않고 초기화 단계 응답이 오면 취약한 상태입니다.
curl -s http://<target_ip>/api/init_step/ | grep -E 'error|unauthorized' || echo 'Vulnerable'