🇰🇷 한글 설명
Statamic CMS의 특정 버전에서 사용자 입력값이 적절히 이스케이프되지 않은 채 폼 알림 이메일에 렌더링되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 알림 이메일 수신자에게 HTML 코드를 주입할 수 있습니다. 해당 문제는 5.74.3 및 6.24.2 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트 문의 양식에 악성 코드를 입력하면, 관리자에게 전달되는 이메일에 가짜 내용이나 위험한 링크가 포함될 수 있는 문제입니다. 이메일을 확인하는 관리자가 해킹을 당할 위험이 있습니다.
🇺🇸 원문 (English)
Statamic is a Laravel and Git powered content management system (CMS). Prior to 5.74.3 and 6.24.2, the default ("automagic") form notification email rendered user-submitted values without escaping, allowing an unauthenticated form submitter to inject HTML into the notification emails sent to the configured recipients. This issue is fixed in versions 5.74.3 and 6.24.2.
📍 영향받는 시스템
Statamic 5.74.3 미만 버전 및 6.24.2 미만 버전
⚔️ 공격 벡터
인증되지 않은 사용자가 폼(Form) 제출 시 HTML 태그를 포함한 값을 입력하여 이메일 알림에 주입
🛡️ 대응 방법
Statamic을 최신 버전인 5.74.3 또는 6.24.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 5.74.3 또는 6.24.2보다 낮은지 확인하십시오.
composer show statamic | grep 'versions'