LaraDashboard 일반 관리자가 백업과 업그레이드 기능을 쓸 수 있는 문제
관리자 계정으로 백업 파일을 빼내 비밀번호 정보가 털릴 수 있습니다.
요약
설정 수정 권한만 가진 일반 관리자가 최고 관리자 전용인 백업, 복원, 업그레이드 기능을 쓸 수 있습니다. 백업 파일을 내려받아 비밀번호 해시가 담긴 데이터베이스를 빼낼 수 있으며, 1.4.5 이전 버전이 해당합니다.
해당 조건
- settings.edit 권한을 가진 관리자 계정
대처법
1.4.5 이상으로 업데이트하세요. 릴리스 노트에는 코어 업그레이드 권한을 제한했다고 나와 있지만, 보안 권고문에는 패치 버전이 없다고 적혀 있으니 권고문도 함께 확인하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림) · github.com (새 탭에서 열림)
- 분석 글: github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인