🇰🇷 한글 설명
Concrete CMS 9.5.3 미만 버전에서 Page Attribute Display 블록의 날짜 형식 필드를 통해 저장형 XSS 취약점이 발생합니다. edit_page_contents 권한을 가진 사용자가 악성 페이로드를 저장하면, 해당 페이지를 방문하는 모든 사용자의 브라우저에서 코드가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트 관리 권한이 있는 사람이 페이지 설정에 악성 코드를 숨겨둘 수 있는 문제입니다. 이 페이지를 구경하는 일반 방문자의 브라우저에서 몰래 나쁜 코드가 실행될 위험이 있습니다.
🇺🇸 원문 (English)
Concrete CMS below 9.5.3 is vulnerable to Stored XSS via the Date Format field in the Page Attribute Display block. A user with edit_page_contents permissions could store a payload which executes in the browser of any visitor who viewed a page where the block was configured to display a date-type attribute. The Concrete CMS security team gave this vulnerability a CVSS v4.0 score of 4.8 with vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Thanks Oriol Ortiz for reporting.
📍 영향받는 시스템
Concrete CMS 9.5.3 미만 모든 버전
⚔️ 공격 벡터
권한을 가진 사용자가 페이지 속성 표시 블록의 날짜 형식 필드에 악성 스크립트를 삽입하여 공격
🛡️ 대응 방법
Concrete CMS를 최신 버전인 9.5.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.5.3 미만인지 확인하여 취약 여부를 판단합니다.
grep -r "Concrete CMS" /path/to/cms/config/database.php | grep -E 'version'