🇰🇷 한글 설명
확장 프로그램이 편집자가 설정한 이메일 제목 문자열을 제한 없이 Fluid 템플릿 소스에 직접 전달합니다. 백엔드 편집 권한이 있는 사용자가 이 필드에 Fluid ViewHelper 구문을 삽입하여 민감한 데이터를 노출하거나 TypoScript 콘텐츠 객체를 실행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 이메일 제목 칸에 특수한 코드를 입력하여 시스템의 중요한 정보를 빼내거나 명령을 실행할 수 있는 보안 취약점입니다. 일반 사용자가 아닌, 시스템 설정 권한이 있는 내부 사용자에 의해 발생할 수 있는 문제입니다.
🇺🇸 원문 (English)
The extension passes an editor-configurable email subject string directly into a Fluid template source without restriction. A backend user with edit access to the event plugin or Backend Module can supply Fluid ViewHelper syntax in this field to disclose sensitive data or execute TypoScript content objects. Exploitation of this issue requires an authenticated backend account with edit access to the event registration plugin or backend module.
📍 영향받는 시스템
이벤트 등록 플러그인 또는 백엔드 모듈 편집 권한이 있는 시스템
⚔️ 공격 벡터
인증된 백엔드 사용자가 이메일 제목 설정 필드에 Fluid ViewHelper 구문을 삽입하여 공격
🛡️ 대응 방법
이메일 제목 입력값에 대한 검증 로직을 추가하고 Fluid 템플릿 소스에 직접 전달되지 않도록 수정
🔧 검증 코드
명령어 결과로 출력되는 파일 내에 취약한 입력 필드가 사용되는 코드가 존재하는지 확인
find /var/www/html -name '*extension_name*' -exec grep -l 'email_subject_field_name' {} +