🇰🇷 한글 설명
Vvveb CMS 1.0.8.4 미만 버전에서 발생하는 취약점으로, 권한이 낮은 작성자가 다른 작성자의 게시물에 접근할 수 있습니다. 공격자는 필터링 매개변수를 조작하여 타인의 게시물 메타데이터를 조회하거나, 게시물을 복제 및 삭제하여 데이터 손실과 비즈니스 중단을 초래할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 시스템의 허점을 이용해 다른 사람이 작성한 글을 몰래 보거나 마음대로 지울 수 있는 문제입니다. 이로 인해 중요한 초안이 유출되거나 웹사이트의 콘텐츠가 망가질 위험이 있습니다.
🇺🇸 원문 (English)
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. Prior to 1.0.8.4, Vvveb backend post operations allow a low-privileged Author to access posts owned by another Author. The admin/controller/content/posts.php controller permits filter[admin_id] to replace the server-selected admin_id restriction and accepts a caller-controlled post_id for duplicate and delete actions, while admin/sql/sqlite/post.sql does not consistently enforce post.admin_id. An attacker can view post metadata, discover post identifiers, duplicate posts, or delete posts and related content, exposing private drafts and causing content pollution, data loss, or business disruption. This issue is fixed in version 1.0.8.4.
📍 영향받는 시스템
Vvveb CMS version < 1.0.8.4
⚔️ 공격 벡터
HTTP 요청의 filter[admin_id] 및 post_id 매개변수 조작을 통한 권한 우회
🛡️ 대응 방법
Vvveb CMS를 최신 버전인 1.0.8.4 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 Vvveb CMS의 버전이 1.0.8.4 미만인지 확인하여 취약 여부를 판단합니다.
grep -r "Vvveb" /path/to/cms/version.php 2>/dev/null || echo 'Version check required via manual inspection'