🇰🇷 한글 설명
Concrete CMS 9.5.3 미만 버전에서 사용자 정의 폼 블록의 질문 라벨에 HTML 엔티티 인코딩이 적용되지 않는 취약점이 발견되었습니다. 이를 통해 악의적인 편집자가 라벨에 스크립트를 삽입하면, 관리자가 제출 보고서를 확인할 때 해당 스크립트가 실행되는 저장형 XSS 공격이 가능합니다.
💡 쉬운 설명
게시판 관리자가 설문 조사 결과를 확인하는 화면에서 악성 코드가 몰래 실행될 수 있는 보안 약점입니다. 권한이 있는 편집자가 질문 제목에 몰래 악성 명령어를 적어두면 관리자의 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Concrete CMS before 9.5.3 does not apply HTML entity encoding to user-defined Form block question labels when rendering them as column headers in the Dashboard Form Submissions report (concrete/single_pages/dashboard/reports/forms/legacy.php). a rogue editor could store markup or script in a label that then executes in the browser of any administrator who opens the submissions report for the affected form, producing stored cross-site scripting in the Dashboard. The Concrete CMS security team gave this vulnerability a CVSS v4.0 score of 8.4 with vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. Thanks Yonatan Drori from Tenzai for reporting.
📍 영향받는 시스템
Concrete CMS version before 9.5.3
⚔️ 공격 벡터
권한이 있는 편집자가 폼 블록의 질문 라벨에 악성 스크립트를 삽입하여 저장한 후, 관리자가 보고서를 조회하도록 유도
🛡️ 대응 방법
Concrete CMS를 최신 보안 패치가 적용된 9.5.3 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.5.3 미만인지 확인하여 취약 여부를 판단합니다.
composer show concrete/concrete in | grep 'versions'