🇰🇷 한글 설명
Aptsys POS 플랫폼의 Web Services 모듈에서 인증되지 않은 사용자가 내부 API 테스트 도구에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 특정 URL을 통해 백엔드 서비스 목록을 확인하고, 사용자 거래 조회, 신용 조정, POS 작업 등 핵심 기능을 수행하는 API를 직접 실행할 수 있습니다.
💡 쉬운 설명
관리자만 사용해야 하는 내부 테스트 도구가 인터넷에 아무런 보호 장치 없이 공개되어 있는 상태입니다. 이를 통해 누구나 결제 정보 조회나 시스템 조작과 같은 위험한 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
A vulnerability exists in the Aptsys POS Platform Web Services module thru 2025-05-28, which exposes internal API testing tools to unauthenticated users. By accessing specific URLs, an attacker is presented with a directory-style index listing all available backend services and POS web services, each with an HTML form for submitting test input. These panels are intended for developer use, but are accessible in production environments with no authentication or session validation. This grants any external actor the ability to discover, test, and execute API endpoints that perform critical functions including but not limited to user transaction retrieval, credit adjustments, POS actions, and internal data queries.
📍 영향받는 시스템
Aptsys POS Platform Web Services module (2025-05-28 이전 버전)
⚔️ 공격 벡터
인증 없이 특정 URL에 접근하여 노출된 API 테스트 패널을 통한 직접적인 API 호출
🛡️ 대응 방법
해당 테스트 도구에 대한 접근 권한을 제한하거나, 운영 환경에서 관련 모듈을 비활성화하고 인증 메커니즘을 적용해야 합니다.
🔧 검증 코드
명령어 실행 결과 HTTP 200 OK가 반환되면 인증 없이 테스트 페이지에 접근 가능한 취약한 상태입니다.
curl -s -I [TARGET_URL]/[API_TEST_PATH] | grep -E 'HTTP/1.1 200|HTTP/2 200'