🇰🇷 한글 설명
Craft CMS 5.5.0 이상 5.9.13 이하 버전의 FieldsController::actionRenderCardPreview() 메서드에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 인증된 관리자가 fieldLayoutConfig 파라미터를 통해 Yii2 이벤트 핸들러를 주입함으로써 임의의 PHP 코드를 실행하고 데이터베이스 자격 증명과 같은 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 공격자가 시스템에 몰래 악성 명령어를 심어 실행할 수 있는 보안 약점입니다. 이를 통해 데이터베이스 비밀번호나 중요한 보안 키가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Craft CMS (composer package craftcms/cms) versions >= 5.5.0 and <= 5.9.13 contain a remote code execution vulnerability in the FieldsController::actionRenderCardPreview() method, which passes the fieldLayoutConfig POST parameter directly to Fields::createLayout() without calling Component::cleanseConfig(). An authenticated admin user can inject Yii2 event handlers (e.g., 'on init' keys) via the fieldLayoutConfig parameter to execute arbitrary PHP code and disclose sensitive information (such as environment variables containing database credentials and CRAFT_SECURITY_KEY). The issue is fixed in version 5.9.14.
📍 영향받는 시스템
Craft CMS (craftcms/cms) versions 5.5.0 <= v <= 5.9.13
⚔️ 공격 벡터
인증된 관리자가 fieldLayoutConfig POST 파라미터에 Yii2 이벤트 핸들러를 주입하여 공격
🛡️ 대응 방법
Craft CMS를 최신 보안 패치가 적용된 버전인 5.9.14 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 5.9.14 미만(5.5.0 ~ 5.9.13 사이)이면 취약한 상태입니다.
composer show craftcms/cms | grep 'versions'