🇰🇷 한글 설명
ClipBucket v5는 오픈소스 동영상 공유 플랫폼입니다. 5.5.3 - #141 이전 버전에서는 자막 편집 엔드포인트에서 SQL 와일드카드 문자가 적절히 무력화되지 않습니다. 인증된 사용자가 number 파라미터에 % 문자를 보내면 한 번의 HTTP 요청으로 자신이 소유한 모든 영상의 자막 제목을 덮어쓸 수 있습니다. 해당 문제는 5.5.3 - #141 버전에서 패치되었습니다.
💡 쉬운 설명
동영상 공유 사이트 ClipBucket에서 로그인한 사용자가 자막 기능을 악용해 자신의 모든 영상 자막 제목을 한꺼번에 바꿀 수 있는 문제입니다. 패치된 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
ClipBucket v5 is an open source video sharing platform. Prior to version 5.5.3 - #141, ClipBucket v5 contains an improper neutralization of SQL wildcard characters in the subtitle editing endpoint. An authenticated user can send a % character as the number parameter to overwrite all subtitle titles of any video they own in a single HTTP request. This issue has been patched in version 5.5.3 - #141.
📍 영향받는 시스템
ClipBucket v5 5.5.3 - #141 미만 버전
⚔️ 공격 벡터
인증된 사용자가 자막 편집 요청의 number 파라미터에 % 를 넣어 SQL 와일드카드로 소유한 모든 영상의 자막 제목을 일괄 덮어쓰기
🛡️ 대응 방법
ClipBucket v5를 5.5.3 - #141 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 값이 5.5.3 - #141 이상이면 패치 적용됨, 미만이면 취약하므로 업데이트 필요 (경로는 설치 위치에 따라 조정)
grep -ri 'version' /var/www/html/clipbucket/version.php /var/www/clipbucket/version.php 2>/dev/null