🇰🇷 한글 설명
Ruby on Rails 기반의 Alchemy CMS에서 인증되지 않은 사용자가 특정 API 엔드포인트를 통해 제한되거나 미발행된 페이지의 메타데이터 및 콘텐츠를 탈취할 수 있는 취약점입니다. 해당 엔드포인트는 권한 검사 및 하위 요소에 대한 범위 제한을 수행하지 않아 보안 설정이 무시됩니다.
💡 쉬운 설명
로그인하지 않은 외부인이 웹사이트의 숨겨진 페이지 정보와 내용을 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 관리자만 봐야 하는 비공개 문서들이 일반인에게 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Alchemy is an open source content management system engine written in Ruby on Rails. Prior to 7.4.15, 8.0.15, 8.1.14, and 8.2.6, the unauthenticated GET /api/pages/nested endpoint implemented by Api::PagesController#nested in app/controllers/alchemy/api/pages_controller.rb returns an unfiltered page tree because it performs no authorization and does not scope descendants by the caller's ability. Anonymous callers can retrieve restricted and unpublished page metadata that the sibling show action denies. When elements=true is supplied, PageTreeSerializer also returns element and ingredient content from restricted pages because PageTreePreloader and the serializer do not apply an ability check to those records. This issue is fixed in versions 7.4.15, 8.0.15, 8.1.14, and 8.2.6.
📍 영향받는 시스템
Alchemy CMS versions prior to 7.4.15, 8.0.15, 8.1.14, and 8.2.6
⚔️ 공격 벡터
인증되지 않은 상태에서 GET /api/pages/nested 엔드포인트에 접근하여 비공개 데이터 요청
🛡️ 대응 방법
Alchemy CMS를 최신 패치 버전(7.4.15, 8.0.15, 8.1.14, 8.2.6 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 패치된 버전 번호가 포함되어 있으면 안전하며, 이전 버전이 출력되면 취약한 상태입니다.
gem list alchemy | grep -E '7.4.15|8.0.15|8.1.14|8.2.6'