🇰🇷 한글 설명
@tryghost/activitypub은 Ghost의 소셜 연합(페더레이션) 클라이언트 앱입니다. 3.1.0 이전 버전에서는 악의적으로 변조된 ActivityPub 서버가 공유한 게시물을 통해 JavaScript 인젝션이 가능했습니다. 이 취약점은 3.1.0에서 수정되었습니다.
💡 쉬운 설명
Ghost 블로그의 소셜 기능에서, 악성 외부 서버가 보낸 게시물에 악성 스크립트가 숨겨질 수 있었습니다. 최신 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
@tryghost/activitypub is Ghost’s social/federation client app. Prior to 3.1.0, the ActivityPub client in Ghost was vulnerable to JavaScript injection on posts shared by a maliciously customised ActivityPub server. This vulnerability is fixed in 3.1.0.
📍 영향받는 시스템
@tryghost/activitypub 3.1.0 미만을 사용하는 Ghost 설치 환경
⚔️ 공격 벡터
공격자가 변조한 ActivityPub 서버에서 악성 JavaScript가 포함된 게시물을 전송하여 피해자 브라우저에서 스크립트를 실행
🛡️ 대응 방법
@tryghost/activitypub 패키지를 3.1.0 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.1.0 이상이면 패치가 적용된 것이며, 3.1.0 미만이거나 결과가 없으면 업데이트 또는 설치 여부를 확인해야 합니다.
npm ls @tryghost/activitypub 2>/dev/null | grep activitypub