🇰🇷 한글 설명
Craft CMS의 특정 버전에서 GitHub 계정을 가진 공격자가 이슈 제목에 JavaScript 페이로드를 삽입할 수 있는 취약점이 발견되었습니다. 관리자가 피드백 화면에서 검색을 수행할 때 해당 악성 코드가 실행되어 관리자 제어판 세션이 탈취될 수 있습니다.
💡 쉬운 설명
공격자가 GitHub에 가짜 질문을 올리고, 관리자가 이를 확인하는 과정에서 관리자의 권한을 몰래 훔쳐가는 공격입니다. 별도의 로그인 없이도 GitHub 계정만 있으면 누구나 시도할 수 있어 위험합니다.
🇺🇸 원문 (English)
Craft CMS is a content management system (CMS). In versions 5.0.0-RC1 through 5.9.22 and 4.0.0-RC1 through 4.17.15, an attacker with only a GitHub account can plant a JavaScript payload in a craftcms/cms issue title. When a Craft admin uses the CraftSupport widget’s "Give feedback" screen and types a search term that returns the poisoned issue, the payload executes in the admin’s control panel session. No control panel account or elevated privileges are required on the attacker’s side. This issue has been fixed in versions 4.17.16 and 5.9.23.
📍 영향받는 시스템
Craft CMS 4.0.0-RC1 ~ 4.17.15 및 5.0.0-RC1 ~ 5.9.22
⚔️ 공격 벡터
GitHub 이슈 제목에 삽입된 악성 스크립트를 관리자가 CraftSupport 위젯을 통해 검색할 때 실행됨
🛡️ 대응 방법
Craft CMS를 버전 4.17.16 또는 5.9.23 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.17.16 미만이거나 5.9.23 미만인 경우 취약한 상태입니다.
composer show craft/cms | grep 'versions'