🇰🇷 한글 설명
오픈 소스 기업용 소셜 네트워크인 HumHub의 1.13.0부터 1.18.2 버전에서 권한 확인 누락 취약점이 발견되었습니다. 이로 인해 인증된 사용자라면 자신의 역할이나 소속 여부와 관계없이 모든 스페이스의 멤버를 삭제할 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 누구나 다른 그룹의 모든 멤버를 강제로 쫓아낼 수 있는 보안 결함입니다. 관리자가 아니더라도 그룹 전체를 초기화할 수 있어 데이터와 협업 환경에 큰 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
HumHub is an Open Source Enterprise Social Network. In versions 1.13.0 through 1.18.2, a missing authorization check in the Space member management controller allowed any authenticated user to trigger the removal of all members from any Space, regardless of their own role or membership in that Space. Versions 1.13.0 through 1.18.2 are affected. The vulnerability has been patched in version 1.18.3, and all users are encouraged to upgrade to this version or later immediately. No known workaround is available.
📍 영향받는 시스템
HumHub versions 1.13.0 through 1.18.2
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 누락된 Space 멤버 관리 컨트롤러를 호출하여 공격
🛡️ 대응 방법
HumHub을 버전 1.18.3 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전 정보가 1.18.3보다 낮으면 취약한 상태입니다.
composer show humhub/humhub | grep 'versions'
💻 영향받는 소프트웨어
Cisco Crosswork Network Controller