니들웍스 주제: 텍스트큐브 1.78 버전에서 필진 권한 버그 발견
텍스트큐브에서는 필진 권한이 3가지 있습니다.
이 중에서 스킨 변경 등 블로그의 중요한부분을 수정할 수 있는 권한은 '운영자'권한 뿐입니다.
그런데 '글관리'권한을 가진 필진이 로그인 한 뒤에 주소창에 직접 해당 주소(예 : http://getoclover.com/tc/owner/skin/edit)을 입력하면 스킨변경이 가능한 아주 중대한 버그를 발견했습니다.
위의 사항은 필진권한을 사용하는 모든 부분에서 나타나고 있으며 권한관리 로직 자체의 결함으로 보입니다.
이 문제는 텍스트큐브 권한의 취약점을 보여준 사례입니다.
일부 필진이 악의를 품었을 경우 매우 위험한 상태로 만들 수 있게 됩니다.
조속히 해결되기 바랍니다.
by 게토 (www.getoclover.com)
