🇰🇷 한글 설명
HAX CMS 25.0.0부터 26.0.0 미만 버전에서 haxcms_refresh_token 쿠키가 Secure 플래그 없이 설정되어 보안상 취약점이 존재합니다. 이로 인해 쿠키가 암호화되지 않은 HTTP를 통해 전송되어 네트워크 스니핑 공격에 의해 탈취될 위험이 있습니다. 이 문제는 버전 26.0.0에서 수정되었습니다.
💡 쉬운 설명
보안 설정이 누락된 쿠키가 인터넷을 통해 평문으로 전송되어 해커가 도용할 수 있는 문제입니다. 최신 버전으로 업데이트하면 이 위험을 방지할 수 있습니다.
🇺🇸 원문 (English)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Starting in version 25.0.0 and prior to version 26.0.0, the haxcms_refresh_token cookie is set without the Secure flag. This allows it to be transmitted over unencrypted HTTP, making it vulnerable to theft via packet sniffing on the network. Version 26.0.0 fixes the issue.
📍 영향받는 시스템
HAX CMS version >= 25.0.0 and < 26.0.0
⚔️ 공격 벡터
네트워크 패킷 스니핑을 통한 쿠키 탈취
🛡️ 대응 방법
HAX CMS를 버전 26.0.0 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 25.x.x인 경우 취약한 버전이므로 26.0.0 이상으로 업그레이드해야 합니다.
cat /path/to/haxcms/package.json 2>/dev/null | grep -o '"version": "[^"]*"' | grep -E '2[5].*0'