🇰🇷 한글 설명
Django 기반 오픈소스 CMS인 Wagtail의 내부 Pages admin API에서 접근 제어 미흡 취약점이 발견되었습니다. Wagtail 관리자 권한을 가진 사용자가 api_fields에 선언된 페이지 필드를 통해 제한된 초안 및 라이브 페이지 콘텐츠를 무단으로 조회할 수 있습니다.
💡 쉬운 설명
웹사이트 관리 도구인 Wagtail에서 권한 설정이 제대로 되지 않아, 관리자 권한이 있는 사람이 보여주면 안 되는 비밀스러운 글 내용까지 다 볼 수 있는 문제입니다. 이를 통해 공개되지 않은 초안이나 민감한 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Wagtail is an open source content management system built on Django. Prior to versions 7.0.9, 7.3.4, 7.4.3, and 8.0rc2 on their respective release lines, the internal Pages admin API returns page fields declared in api_fields without sufficient access control, allowing a user with Wagtail admin access to retrieve restricted draft and live page content. This issue is fixed in versions 7.0.9, 7.3.4, 7.4.3, and 8.0rc2.
📍 영향받는 시스템
Wagtail versions prior to 7.0.9, 7.3.4, 7.4.3, and 8.0rc2
⚔️ 공격 벡터
Wagtail 관리자 권한을 이용한 내부 Pages admin API 호출을 통한 데이터 탈취
🛡️ 대응 방법
Wagtail을 최신 보안 패치 버전(7.0.9, 7.3.4, 7.4.3, 8.0rc2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 Wagtail 버전을 확인하여 취약점이 해결된 버전(7.0.9, 7.3.4, 7.4.3, 8.0rc2 이상)인지 대조합니다.
pip show wagtail | grep Version