🇰🇷 한글 설명
Grav CMS의 scheduler-webhook 플러그인에는 웹훅 토큰 검증 로직의 단락 평가(short-circuit) 결함으로 인한 인증 우회 취약점이 존재합니다. 인증되지 않은 원격 공격자가 웹훅 엔드포인트에 단일 POST 요청을 보내 설정된 모든 예약 작업 또는 특정 작업을 실행할 수 있으며, 이로 인해 웹 서버 프로세스 권한으로 운영자가 정의한 명령이 의도치 않게 실행될 수 있습니다.
💡 쉬운 설명
누구나 특별한 로그인 없이 웹사이트의 예약 작업을 강제로 실행시킬 수 있는 문제입니다. 관리자가 설정해 둔 명령들이 공격자의 요청으로 의도치 않게 실행될 수 있습니다.
🇺🇸 원문 (English)
Grav CMS scheduler-webhook plugin contains an authentication bypass vulnerability that allows unauthenticated remote attackers to trigger configured scheduled jobs by exploiting a short-circuit logic flaw in the webhook token validation. Attackers can send a single unauthenticated POST request to the scheduler webhook endpoint to execute all configured scheduled jobs or target a specific job, causing unintended execution of operator-defined commands under the web server process user.
📍 영향받는 시스템
scheduler-webhook 플러그인이 설치된 Grav CMS 시스템 (정확한 영향 버전은 공식 권고문 확인 필요)
⚔️ 공격 벡터
인증되지 않은 공격자가 scheduler webhook 엔드포인트에 조작된 POST 요청 한 번을 보내 예약 작업을 실행
🛡️ 대응 방법
scheduler-webhook 플러그인을 취약점이 수정된 최신 버전으로 업데이트하거나, 해당 기능이 불필요하면 플러그인을 비활성화 및 제거
🔧 검증 코드
플러그인 디렉터리가 출력되면 설치되어 있는 것이며, version 값을 공식 패치 버전과 비교해 그보다 낮으면 취약한 것으로 판단하고, 아무 출력이 없으면 해당 플러그인이 설치되지 않은 것입니다.
grep -ri 'scheduler-webhook' /var/www/html/user/plugins/ 2>/dev/null; cat /var/www/html/user/plugins/scheduler-webhook/blueprints.yaml 2>/dev/null | grep -i version