🇰🇷 한글 설명
ApostropheCMS 4.32.0 및 이전 버전에서 발생하는 취약점입니다. 인증된 편집자가 PATCH /api/v1/article/:id 요청을 통해 공유된 Object.prototype.toString 함수의 call 속성을 덮어쓸 수 있으며, 이로 인해 프로세스 전체에 지속적인 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
로그인한 편집자가 시스템의 핵심 규칙을 몰래 바꿔버릴 수 있는 취약점입니다. 이 규칙이 바뀌면 웹사이트 프로그램이 제대로 작동하지 않고 멈춰버리게 됩니다.
🇺🇸 원문 (English)
ApostropheCMS is an open-source Node.js content management system. In 4.32.0 and earlier, PATCH /api/v1/article/:id accepts the inherited path toString.call and passes it through the utility module to apos.util.set() and apos.util.get(), allowing an authenticated editor to overwrite the shared Object.prototype.toString function's call property and cause a persistent process-wide denial of service until restart.
📍 영향받는 시스템
ApostropheCMS 4.32.0 및 그 이전 모든 버전
⚔️ 공격 벡터
인증된 편집자 권한을 이용한 API 요청을 통한 프로토타입 오염(Prototype Pollution)
🛡️ 대응 방법
ApostropheCMS를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 apos.util의 버전이 4.32.0 이하인지 확인하여 취약 여부를 판단합니다.
npm list apos.util | grep -E 'version'