남의 페이지 초안이 왜 보이죠?🕵️‍♀️

“남의 페이지 초안이 왜 보이죠?” — 직접 찾은 CVE 3건 이야기 🕵️‍♀️

안녕하세요  구독자 님!! 오랜만에 돌아왔어요. 그동안 뉴스레터가 조용했던 이유가 있었는데요, 바로 제가 직접 취약점을 찾아서 제보하고 있었거든요! 😆

그 결과 오픈소스 CMS 두 곳(Wagtail, Craft CMS)에서 CVE 3건을 받게 되었어요. 오늘은 늘 하던 대로 남이 찾은 CVE를 분석하는 대신, 제가 어떤 원리로 취약점을 찾았고 어떤 과정을 거쳐 CVE가 되었는지를 쉽게 풀어볼게요

🚨 핵심 요약 (Key Takeaways)

세 건 모두 패치가 나왔어요. Wagtail은 7.0.7 / 7.3.2 / 7.4, Craft CMS는 4.18 / 5.10 이상으로 업데이트하면 안전합니다.

🔍 Wagtail — “문은 잠갔는데 창문이 열려 있었어요”

Wagtail은 Django 기반의 인기 CMS예요. 페이지를 나무(Tree)처럼 관리하고, “이 편집자는 A 가지의 페이지만 수정할 수 있다”처럼 가지별로 권한을 나눌 수 있어요.

💡 BOLA가 뭐예요?

BOLA(Broken Object Level Authorization)는 OWASP API Top 10에서 1위를 차지하는 취약점이에요. 쉽게 말하면 “로그인한 사람인지는 확인하는데, 그 사람이 이 물건에 접근해도 되는지는 확인하지 않는” 문제예요. URL의 숫자(ID)만 바꿔도 남의 데이터가 보이기 때문에 IDOR이라고도 불러요.

💡 취약점 핵심 원인 2가지

Step by Step : 어떻게 재현했나요?

메인테이너는 두 지점이 각각 독립된 문제라고 보고 CVE를 2개로 나눠 발급했어요.

🌐 Craft CMS — “영향 없음”에서 “Moderate”가 되기까지

이번엔 PHP 기반 CMS인 Craft CMS예요. 문제의 장소는 /actions/app/resource-js 라는 엔드포인트였는데요, 서버가 자기 도메인의 JS 파일을 대신 가져다 주는 ‘프록시’ 역할을 해요.

💡 취약점 핵심 원인 3가지

😮 여기서 한 번 더 파고들었어요

처음 메인테이너의 답변은 “이 엔드포인트는 /cpresources로 시작하는 경로만 처리해서 실제 영향은 없다”였어요. 하지만 생각해보면, Host가 이미 제 서버를 가리키고 있으니 제 서버에 cpresources라는 폴더만 만들면 경로 검사도 통과하잖아요? 🤔

이 부분을 정중하게 다시 설명했더니, 메인테이너가 “SSRF와 달리 JS 삽입은 더 심각하다”며 등급을 Moderate로 올려주었어요. 관리자 페이지는 원래 캐시하지 않기 때문에 캐시 포이지닝까지 이어지기는 어렵다는 설명도 함께요. 결국 해당 엔드포인트는 4.18 / 5.10에서 아예 제거되었습니다.

📬 취약점을 찾으면 어떻게 CVE가 되나요?

많이들 궁금해하실 것 같아서 제보 과정도 정리해봤어요.

참고로 공개 후 NVD(미국 취약점 DB)에서 ‘Not Scheduled’라는 표시를 보고 깜짝 놀랐는데요, 2026년 4월부터 NIST가 모든 CVE를 직접 분석하지 않기로 하면서 붙는 표시예요. CVE 자체는 그대로 유효하니 걱정 마세요!

🛡️ 그럼, 이런 취약점은 어떻게 막을 수 있을까요?

BOLA는 “이 사람이 이 객체에 권한이 있는가?”를 매번 확인하면 돼요. 제가 보고서에 넣었던 패치 제안을 조금 단순하게 보여드릴게요.

# 패치 로직 예시 (단순화)
def get_object(self, queryset=None):
    page = get_object_or_404(Page, id=self.pk).specific
    perms = page.permissions_for_user(self.request.user)
    if not (perms.can_publish() or perms.can_edit()):
        raise PermissionDenied  # 이 페이지에 권한이 없으면 차단!
    return page

Host 헤더 문제는 ‘아무도 믿지 않기’가 기본이에요. trustedHosts처럼 프록시 헤더를 믿는 설정은 실제 프록시 주소만 허용하고, 서버가 외부 URL을 가져올 때는 주소를 허용 목록으로 검사해야 해요.

📚 보안 용어 정리

오늘은 제가 직접 찾은 취약점 이야기를 들려드렸어요. 유명한 오픈소스도 “옆 화면은 확인하는데 이 화면은 안 하는” 작은 틈이 있다는 것, 그리고 “영향 없음”이라는 답에도 한 번 더 질문해보는 것이 중요하다는 걸 배웠네요! 🕵️‍♀️

이제 다시 매주 월요일에 찾아올게요. 끝까지 읽어주셔서 감사합니다. 다음 호에서 뵙겠습니다 :)