🇰🇷 한글 설명
Craft CMS용 Formie 플러그인 3.1.27 미만 버전에서 발생하는 취약점으로, 요청 데이터가 Twig 렌더링 레이어로 전달되는 과정에서 발생합니다. 인증되지 않은 공격자가 HTTP 헤더 등에 Twig 구문을 삽입하여 서버 측 템플릿 엔진을 실행함으로써 민감 정보 유출이나 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
웹사이트의 양식(Form)을 만드는 플러그인에 결함이 있어, 공격자가 특수하게 조작된 메시지를 보내면 서버를 마음대로 조종할 수 있는 보안 구멍이 있습니다. 이를 통해 해커가 서버의 중요한 정보를 훔치거나 서버 자체를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
Formie is a Craft CMS plugin for creating forms. Prior to 3.1.27, Formie can pass request-derived Hidden field defaults such as HTTP User Agent, Referer URL, Current URL, Current URL without Query String, Query Parameter, and Cookie Value to Craft's Twig rendering layer during front-end form rendering. An unauthenticated attacker can place Twig syntax in one of these request-controlled inputs when a public form contains an affected Hidden field. Hidden::getFrontEndInputOptions() then assigns the value to defaultValue and calls renderString, causing server-side template evaluation rather than treating the request data as a plain string. Depending on the Craft site configuration and available Twig capabilities, exploitation can disclose sensitive information, modify application state, or achieve remote code execution. This issue is fixed in version 3.1.27.
📍 영향받는 시스템
Formie plugin for Craft CMS (versions prior to 3.1.27)
⚔️ 공격 벡터
인증되지 않은 공격자가 HTTP User Agent, Referer 등 조작 가능한 요청 헤더에 Twig 구문을 삽입하여 공격
🛡️ 대응 방법
Formie 플러그인을 최신 버전인 3.1.27 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.1.27 미만인지 확인하여 취약 여부를 판단합니다.
composer show formie/formie | grep 'versions'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server