🇰🇷 한글 설명
ApostropheCMS 4.29.0 이하 버전은 초안 버전 툴팁에서 비정상 처리된 사용자 표시 이름을 통해 저장형 XSS 취약점이 존재합니다. 현재까지 이 문제를 해결한 패치된 버전은 공개되지 않았습니다.
💡 쉬운 설명
사용자가 입력한 이름이 제대로 검사되지 않아 악성 스크립트가 저장될 수 있는 구멍이 있습니다. 아직 이 문제를 고친 공식 버전은 없습니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. Versions up to and including 4.29.0 are vulnerable to stored cross-site scripting via unsanitized user display name in draft version tooltip. As of time of publication, no known patched versions are available.
📍 영향받는 시스템
ApostropheCMS <= 4.29.0
⚔️ 공격 벡터
저장형 XSS (초안 버전 툴팁의 비정상 처리된 사용자 표시 이름)
🛡️ 대응 방법
공식 패치 출시를 기다리거나, 현재로서는 해당 기능의 사용 자제 및 대체 보안 조치 고려
🔧 검증 코드
출력된 버전이 4.29.0 이하이거나 해당 패키지가 설치되어 있으면 취약한 것으로 판단
npm list apostrophe --depth=0 2>/dev/null | grep -E 'apostrophe@'