🇰🇷 한글 설명
Statamic CMS의 인증된 제어판 사용자가 사용자 생성 마법사 엔드포인트를 악용하여 특정 이메일 주소가 기존 사용자의 것인지 확인할 수 있는 취약점입니다. 이 취약점은 사용자 목록을 볼 권한이 없는 사용자라도 이메일 존재 여부를 파악할 수 있게 합니다. 해당 문제는 버전 5.74.1 및 6.24.0에서 수정되었습니다.
💡 쉬운 설명
로그인 권한이 있는 사람이 특정 이메일 주소를 입력해 해당 이메일로 가입된 사용자가 있는지 몰래 확인할 수 있는 문제입니다. 개인정보가 직접 유출되지는 않지만, 어떤 이메일이 서비스에 등록되어 있는지 알아낼 수 있습니다.
🇺🇸 원문 (English)
Statamic is a Laravel and Git powered content management system (CMS). Prior to 5.74.1 and 6.24.0, an authenticated Control Panel user could use an endpoint intended for the user creation wizard to determine if a given email address belonged to an existing user, without having permission to view users, though the endpoint only exposed user existence and not any other user data. This issue is fixed in versions 5.74.1 and 6.24.0.
📍 영향받는 시스템
Statamic versions prior to 5.74.1 and 6.24.0
⚔️ 공격 벡터
인증된 제어판 사용자가 사용자 생성 마법사 엔드포인트에 특정 이메일 주소를 요청하여 존재 여부 확인
🛡️ 대응 방법
Statamic을 버전 5.74.1 또는 6.24.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 5.74.1 또는 6.24.0보다 낮은지 확인하십시오.
composer show statamic | grep 'versions'