🇰🇷 한글 설명
Wekan 오픈 소스 칸반 보드 시스템 18.15 버전 이하에서 인증된 사용자가 서버 측 권한 검증 미비로 인해 자신의 사용자 문서 전체를 수정할 수 있는 취약점이 발견되었습니다. 이를 통해 사용자는 조직/팀 정보나 로그인 비활성화 상태를 포함한 프로필 이외의 필드를 변경할 수 있으며, 결과적으로 권한 상승 및 타 조직에 대한 무단 접근이 가능합니다.
💡 쉬운 설명
로그인한 사용자가 자신의 프로필 정보뿐만 아니라 시스템의 중요한 설정까지 마음대로 바꿀 수 있는 보안 구멍이 발견되었습니다. 이를 악용하면 일반 사용자가 관리자 권한을 얻거나 다른 팀의 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in Wekan The Open Source kanban board system up to version 18.15, fixed in 18.16. Authenticated users can update their entire user document (beyond profile fields), including orgs/teams and loginDisabled, due to missing server-side authorization checks; this enables privilege escalation and unauthorized access to other teams/orgs.
📍 영향받는 시스템
Wekan The Open Source kanban board system (version 18.15 and below)
⚔️ 공격 벡터
인증된 사용자가 서버의 권한 검증을 우회하여 사용자 문서의 민감한 필드를 직접 업데이트하는 방식
🛡️ 대응 방법
Wekan을 최신 보안 패치가 적용된 버전인 18.16 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 18.0부터 18.15 사이의 버전 번호가 나타나면 취약한 버전이 설치된 상태입니다.
curl -s http://<WEKAN_URL>/api/version | grep -E '18\.(1[0-5])'