🇰🇷 한글 설명
ApostropheCMS 4.29.0의 이미지 위젯 기능에 저장형 XSS 취약점이 존재합니다. 편집자 권한을 가진 공격자가 javascript: URL을 포함한 악성 위젯을 게시하면, 방문자가 클릭할 때 브라우저에서 임의의 자바스크립트가 실행됩니다. 현재까지 공식 패치 버전은 발표되지 않았습니다.
💡 쉬운 설명
사이트 관리자가 악의적인 이미지 링크를 숨겨 넣으면, 방문자가 그 링크를 클릭했을 때 해커가 원하는 코드가 실행될 수 있습니다. 이는 사이트의 보안을 무력화하고 사용자 정보를 탈취하는 데 이용될 수 있습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Version 4.29.0 has a stored cross-site scripting vulnerability in the image widget functionality. A user with the Editor role can configure an image widget link to use a javascript: URL payload. Because editors have permission to publish pages, the malicious widget can be published to the live site. When another user, including an administrator or public visitor, clicks the affected image/link, arbitrary JavaScript executes in the victim’s browser. As of time of publication, no known patched versions are available.
📍 영향받는 시스템
ApostropheCMS 4.29.0
⚔️ 공격 벡터
편집자 권한을 가진 사용자가 악성 javascript: URL을 포함한 이미지 위젯을 게시하여 방문자가 클릭하도록 유도
🛡️ 대응 방법
공식 패치가 출시될 때까지 편집자 권한을 신중하게 관리하고, 의심스러운 위젯 게시를 모니터링하며, 가능하면 해당 기능을 임시로 비활성화하십시오.
🔧 검증 코드
출력된 버전이 4.29.0인 경우 취약한 버전으로 확인되며, 패치 버전으로 업그레이드해야 합니다.
npm list apostrophe-cms 2>/dev/null | grep 'apostrophe-cms@'