🇰🇷 한글 설명
Craftplan 0.5.1 미만 버전에서 설정 리소스에 대한 무조건적인 권한 부여 정책으로 인해 발생하는 권한 제어 결함입니다. 인증되지 않은 공격자가 유효한 레코드 ID를 사용하여 설정 API 엔드포인트에 GET 요청을 보냄으로써 복호화된 SMTP 비밀번호, 이메일 API 키 및 비밀번호를 탈취할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인도 특정 주소로 요청을 보내면 시스템의 중요한 비밀번호와 보안 키를 몰래 읽어갈 수 있는 보안 구멍이 발견되었습니다. 이로 인해 이메일 계정이나 서비스 관리 권한이 통째로 넘어갈 위험이 있습니다.
🇺🇸 원문 (English)
Craftplan before 0.5.1 contains a broken access control vulnerability that allows unauthenticated attackers to read sensitive credentials by exploiting an unconditional authorization policy on the Settings resource. Attackers can send a GET request to the settings API endpoint with a valid record ID to retrieve decrypted SMTP passwords, email API keys, and email API secrets due to the read policy using an always-allow authorization check that bypasses all identity verification.
📍 영향받는 시스템
Craftplan version < 0.5.1
⚔️ 공격 벡터
인증되지 않은 공격자가 유효한 레코드 ID를 포함한 GET 요청을 설정 API 엔드포인트로 전송
🛡️ 대응 방법
Craftplan을 최신 버전인 0.5.1 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 craftplan 버전이 0.5.1 이상으로 표시되면 안전하며, 그 미만이면 취약한 상태입니다.
npm list craftplan | grep -E 'craftplan@.*[0-5]\.[0-5]\.1'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access