🇰🇷 한글 설명
Concrete CMS 9.5.3 미만 버전의 RSS Displayer 블록에서 RSS 피드 항목의 제목을 HTML 이스케이프 처리 없이 렌더링하여 저장형 XSS 취약점이 발생합니다. 공격자가 피드 제목을 제어할 수 있다면 사이트 방문자나 관리자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
뉴스 피드 같은 외부 정보를 가져올 때 보안 검사를 제대로 하지 않아 발생하는 문제입니다. 나쁜 의도를 가진 사람이 뉴스 제목에 몰래 코드를 심어두면, 웹사이트 방문자의 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Concrete CMS RSS Displayer block below version 9.5.3 rendered remote feed item titles without HTML escaping, resulting in stored cross-site scripting. An attacker able to control a title in a syndicated feed could execute script in the site origin for any visitor to the affected page, including administrators, without holding an account on that site. The Concrete CMS security team gave this vulnerability a CVSS v4.0 score of 6.0 with vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N. Thanks riodrwn for reporting.
📍 영향받는 시스템
Concrete CMS RSS Displayer block (version 9.5.3 미만)
⚔️ 공격 벡터
공격자가 제어 가능한 외부 RSS 피드의 제목에 악성 스크립트를 삽입하여 웹사이트 방문자에게 실행 유도
🛡️ 대응 방법
Concrete CMS를 최신 보안 패치가 적용된 9.5.3 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 블록이 검색되면 취약한 버전일 가능성이 높으므로 업데이트가 필요합니다.
grep -r 'RSS Displayer' /path/to/concrete/application/blocks/ | grep -v '9.5.3'