🇰🇷 한글 설명
Tryton 프레임워크(trytond) 2.4.0 이전 버전에서 relation model의 Many2Many 필드에 대한 접근 제어가 부족하여, 인증된 원격 사용자가 create, write, delete, copy RPC 호출을 통해 임의의 사용자 권한을 수정할 수 있는 권한 상승 취약점입니다.
💡 쉬운 설명
Tryton 비즈니스 소프트웨어에서 로그인한 사용자가 정상적이지 않은 방식으로 다른 사람의 권한을 변경할 수 있습니다. 이로 인해 권한이 없는 사용자도 관리자 권한을 얻을 수 있게 됩니다.
🇺🇸 원문 (English)
model/modelstorage.py in the Tryton application framework (trytond) before 2.4.0 for Python does not properly restrict access to the Many2Many field in the relation model, which allows remote authenticated users to modify the privileges of arbitrary users via a (1) create, (2) write, (3) delete, or (4) copy rpc call.
📍 영향받는 시스템
Tryton (trytond) < 2.4.0 for Python
⚔️ 공격 벡터
인증된 사용자가 relation model의 Many2Many 필드를 조작하는 RPC API 호출(create/write/delete/copy)을 통해 권한 수정
🛡️ 대응 방법
Tryton (trytond)을 2.4.0 이상으로 업그레이드
🔧 검증 코드
Version이 2.4.0 이상이면 안전, 미만이면 즉시 업그레이드 필요
pip show trytond 2>/dev/null | grep Version || python -c "import trytond; print(trytond.__version__)" 2>/dev/null