🇰🇷 한글 설명
Craft CMS 4.x(4.0.0-RC1 이상 4.17.0-beta.1 미만) 및 5.x(5.0.0-RC1 이상 5.9.0-beta.1 미만)에는 설정 이름과 필드 옵션 레이블이 살균 없이 렌더링되어 저장형 XSS가 발생하는 취약점이 여러 개 존재합니다. 인증된 관리자(allowAdminChanges 활성화 시)가 섹션, 볼륨, 사용자 그룹, 전역 세트, 생성된 필드 이름, 체크박스/라디오 옵션 레이블 등에 악성 스크립트를 삽입하면 다른 사용자의 제어판 세션에서 임의의 JavaScript가 실행될 수 있습니다. 4.17.0-beta.1 및 5.9.0-beta.1에서 수정되었습니다.
💡 쉬운 설명
Craft CMS 관리자가 설정 이름 등에 악성 코드를 넣으면, 그 설정을 보는 다른 관리자의 화면에서 해당 코드가 실행될 수 있습니다. 관리자 권한을 가진 사용자만 악용할 수 있어 위험도는 중간 수준입니다.
🇺🇸 원문 (English)
Craft CMS 4.x (>= 4.0.0-RC1, < 4.17.0-beta.1) and 5.x (>= 5.0.0-RC1, < 5.9.0-beta.1) contain multiple stored cross-site scripting vulnerabilities where settings names and field option labels are rendered without sanitization (e.g., via the checkbox.twig template, which used {{ label|raw }}). An authenticated administrator (with allowAdminChanges enabled) can inject malicious payloads into section names, volume names, user group names, global set names, generated field names, checkbox/radio option labels, and custom source labels, causing arbitrary JavaScript to execute in other users' control-panel sessions. Fixed in 4.17.0-beta.1 and 5.9.0-beta.1.
📍 영향받는 시스템
Craft CMS 4.0.0-RC1~4.17.0-beta.1 미만, 5.0.0-RC1~5.9.0-beta.1 미만
⚔️ 공격 벡터
인증된 관리자가 섹션·볼륨·사용자 그룹·필드 이름 등에 악성 스크립트를 삽입하여 다른 사용자 세션에서 XSS 실행
🛡️ 대응 방법
Craft CMS를 4.17.0-beta.1 또는 5.9.0-beta.1 이상으로 업데이트하고, 신뢰할 수 없는 관리자 계정의 권한을 제한하세요.
🔧 검증 코드
출력된 버전이 4.17.0-beta.1 또는 5.9.0-beta.1 이상이면 수정된 것이며, 그보다 낮은 버전이면 취약한 상태입니다.
composer show craftcms/cms 2>/dev/null | grep versions