🇰🇷 한글 설명
Node.js 기반 콘텐츠 관리 시스템인 Ghost의 Universal Import 기능에서 입력값 검증 미흡으로 인해 XSS 취약점이 발생합니다. Ghost 5.26.0부터 6.54.1 버전 사이의 사용자가 게시물 콘텐츠에 악성 스크립트를 삽입할 수 있습니다. 이 문제는 버전 6.54.1에서 수정되었습니다.
💡 쉬운 설명
Ghost 관리자 페이지에서 파일을 불러올 때 보안 검사가 제대로 되지 않아 악성 코드가 실행될 수 있는 문제입니다. 공격자가 게시물에 몰래 나쁜 코드를 심어두면 관리자나 방문자의 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Ghost is a Node.js content management system. From 5.26.0 until 6.54.1, the Universal Import feature in Ghost Admin failed to properly sanitize imported content resulting in XSS in post content. This issue is fixed in version 6.54.1.
📍 영향받는 시스템
Ghost CMS 버전 5.26.0 ~ 6.54.1
⚔️ 공격 벡터
Universal Import 기능을 통해 검증되지 않은 악성 스크립트가 포함된 콘텐츠를 업로드하여 실행
🛡️ 대응 방법
Ghost CMS를 최신 보안 패치가 적용된 버전 6.54.1 이상으로 업데이트
🔧 검증 코드
출력된 Ghost의 버전을 확인하여 6.54.1 미만인지 확인합니다.
npm list -g ghost --depth=0 | grep ghost