🇰🇷 한글 설명
Frappe 프레임워크의 특정 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 서버의 전체 경로를 알 경우 서버 내의 특정 파일을 탈취할 수 있습니다. 이 문제는 Frappe Cloud나 NGINX와 같은 리버스 프록시를 사용하는 환경에서는 영향을 받지 않으며, 주로 werkzeug/gunicorn을 직접 사용하는 환경에서 발생합니다.
💡 쉬운 설명
해커가 웹사이트의 주소를 조작하여 서버 안에 숨겨진 중요한 파일을 몰래 읽어갈 수 있는 문제입니다. 보안을 위해 서버 설정에 방어막(리버스 프록시)을 설치하거나 소프트웨어를 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Frappe is a full-stack web application framework. Prior to 15.86.0 and 14.99.2, certain requests were vulnerable to path traversal attacks, wherein some files from the server could be retrieved if the full path was known. Sites hosted on Frappe Cloud, and even other setups that are behind a reverse proxy like NGINX are unaffected. This would mainly affect someone directly using werkzeug/gunicorn. In those cases, either an upgrade or changing the setup to use a reverse proxy is recommended. This vulnerability is fixed in 15.86.0 and 14.99.2.
📍 영향받는 시스템
Frappe versions prior to 15.86.0 and 14.99.2 (using werkzeug/gunicorn directly)
⚔️ 공격 벡터
경로 탐색(Path Traversal)을 통한 서버 파일 접근
🛡️ 대응 방법
Frappe를 15.86.0 또는 14.99.2 이상으로 업그레이드하거나 NGINX와 같은 리버스 프록시를 도입하십시오.
🔧 검증 코드
출력된 버전이 15.86.0 또는 14.99.2보다 낮은지 확인하십시오.
pip show frappe | grep Version