🇰🇷 한글 설명
REDAXO CMS 5.21.2 미만 버전에서 CSRF 보호 기능이 누락된 취약점이 발견되었습니다. 인증되지 않은 공격자가 관리자의 브라우저를 이용해 의도치 않은 패키지 업데이트를 실행함으로써 애드온 코드를 변경하거나 사이트를 중단시킬 수 있습니다.
💡 쉬운 설명
관리자가 모르는 사이에 웹사이트의 구성 요소를 마음대로 바꾸거나 망가뜨릴 수 있는 보안 허점입니다. 공격자가 링크를 클릭하게 유도하여 관리자의 권한을 도용하는 방식입니다.
🇺🇸 원문 (English)
REDAXO is a PHP-based content management system. Prior to 5.21.2, rex_api_install_package_update in redaxo/src/addons/install/lib/api/api_package_update.php inherits the false default from rex_api_function::requiresCsrfProtection() instead of requiring a CSRF token. An unauthenticated attacker can cause a logged-in administrator's browser to request a selected package update from the configured REDAXO package server, changing installed addon code or disrupting the site without the administrator's intent. This issue is fixed in version 5.21.2.
📍 영향받는 시스템
REDAXO CMS 5.21.2 미만 버전
⚔️ 공격 벡터
CSRF(사이트 간 요청 위조)를 이용한 관리자 권한의 패키지 업데이트 요청 유도
🛡️ 대응 방법
REDAXO CMS를 최신 버전인 5.21.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 REDAXO_VERSION 값이 5.21.2보다 낮은지 확인하십시오.
php -r 'echo "REDAXO_VERSION: " . (defined("REDAXO_VERSION") ? REDAXO_VERSION : "unknown");' 2>/dev/null