🇰🇷 한글 설명
Frappe LMS 2.35.0의 Assignment Picture Handler 컴포넌트에서 /files/ 경로로의 미인증 직접 요청을 처리하는 기능에 보안 결함이 존재합니다. 원격 공격자가 이를 악용할 수 있지만 공격 복잡도가 높아 실제 악용은 제한적입니다.
💡 쉬운 설명
Frappe LMS 특정 버전에서 파일 접근 권한 검사가 제대로 되지 않아 승인되지 않은 사용자가 파일에 접근할 수 있습니다. 공격이 어렵지만 최신 버전으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
A flaw has been found in Frappe LMS 2.35.0. Impacted is an unknown function of the file /files/ of the component Assignment Picture Handler. This manipulation causes direct request. The attack may be initiated remotely. The attack's complexity is rated as high. The exploitability is considered difficult. The exploit has been published and may be used. It is advisable to upgrade the affected component. The vendor was informed early about a total of four security issues and confirmed that those have been fixed. However, the release notes on GitHub do not mention them.
📍 영향받는 시스템
Frappe LMS 2.35.0 이하
⚔️ 공격 벡터
원격 공격자가 /files/ 엔드포인트에 직접 요청을 보내 Assignment Picture 파일에 무단 접근
🛡️ 대응 방법
Frappe LMS를 최신 패치 버전으로 즉시 업그레이드
🔧 검증 코드
버전이 2.35.0이면 취약, 2.35.1 이상이면 패치됨
pip show frappe-lms 2>/dev/null | grep Version | awk '{print $2}'