🇰🇷 한글 설명
Concrete CMS 9.5.3 미만 버전에서 YouTube 블록의 너비 및 높이 값에 대한 검증 미흡으로 인해 저장형 XSS 취약점이 발생합니다. edit_block 권한을 가진 사용자가 iframe 속성에 이벤트 핸들러를 주입하여 관리자 권한으로 악성 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 편집 권한이 있는 사람이 유튜브 영상 크기 설정 칸에 몰래 악성 코드를 넣을 수 있는 문제입니다. 이 코드가 실행되면 관리자의 계정 권한을 탈취하거나 사이트를 조작할 수 있습니다.
🇺🇸 원문 (English)
Concrete CMS before 9.5.3 applied only trim() to the YouTube block's stored width and height values and printed them into iframe HTML attributes without escaping or integer casting, resulting in stored cross-site scripting. A user with edit_block permission could inject an event handler that executed script for visitors rendering the page, acting with administrative privileges where the victim was an administrator. The Concrete CMS security team gave this vulnerability a CVSS v4.0 score of 7.3 with vector CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Thanks sh4d0byss for reporting.
📍 영향받는 시스템
Concrete CMS 9.5.3 미만 모든 버전
⚔️ 공격 벡터
YouTube 블록의 너비/높이 설정 값에 이벤트 핸들러를 포함한 악성 스크립트 주입 (Stored XSS)
🛡️ 대응 방법
Concrete CMS를 최신 보안 패치가 적용된 9.5.3 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.5.3 미만인 경우 해당 취약점에 노출된 상태입니다.
composer show concrete/concrete implements | grep 'versions'