🇰🇷 한글 설명
Concrete CMS 9.5.3 미만 버전에서 Address 속성의 국가 미입력 텍스트 포맷터가 HTML 이스케이프를 누락하여 저장형 XSS 취약점이 발생합니다. 공격자가 Address 속성을 제출할 수 있다면, 해당 항목을 확인하는 대시보드 사용자의 세션에서 악성 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
주소 입력란에 악성 코드를 숨겨서 저장하면, 관리자가 해당 주소를 볼 때 관리자의 권한을 탈취할 수 있는 보안 약점입니다. 주소의 국가 정보를 비워둘 수 있는 허점을 이용해 공격이 이루어집니다.
🇺🇸 원문 (English)
In Concrete CMS below version 9.5.3, the Address attribute's country-less text formatter skipped HTML-escaping, enabling stored XSS in Express association views. A user able to submit an Address attribute could execute script in the session of any dashboard user who opened the affected entry. The unescaped branch was reachable because a non-required Address attribute accepted a blank country, and because several Express association templates (for example concrete/elements/express/form/view/dashboard/association.php) echoed the association label mask without applying h(). The Concrete CMS security team gave this vulnerability a CVSS v4.0 score of 7.5 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Thanks Yonatan Drori from Tenzai for reporting.
📍 영향받는 시스템
Concrete CMS 9.5.3 미만 모든 버전
⚔️ 공격 벡터
Address 속성에 악성 스크립트가 포함된 데이터를 입력하여 저장한 후, 관리자가 대시보드에서 해당 데이터를 조회하도록 유도
🛡️ 대응 방법
Concrete CMS를 최신 버전인 9.5.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.5.3 미만인 경우 해당 취약점에 노출된 상태입니다.
composer show concrete/concretecms | grep 'versions'