🇰🇷 한글 설명
Frappe ERPNext 15.89.0 이하 버전의 get_dunning_letter_text 메서드에서 SSTI(서버 측 템플릿 주입) 취약점이 발견되었습니다. 공격자가 제어 가능한 Jinja2 템플릿을 통해 frappe.db.sql과 같은 위험한 전역 함수에 접근할 수 있어, 데이터베이스 정보 유출 및 제한된 환경 내 코드 실행이 가능합니다.
💡 쉬운 설명
시스템이 사용자로부터 입력받은 문구를 처리하는 과정에서 악의적인 명령어를 섞어 넣을 수 있는 보안 약점이 있습니다. 이를 통해 해커가 회사의 중요한 데이터베이스 정보를 몰래 빼낼 수 있습니다.
🇺🇸 원문 (English)
An SSTI (Server-Side Template Injection) vulnerability exists in the get_dunning_letter_text method of Frappe ERPNext through 15.89.0. The function renders attacker-controlled Jinja2 templates (body_text) using frappe.render_template() with a user-supplied context (doc). Although Frappe uses a custom SandboxedEnvironment, several dangerous globals such as frappe.db.sql are still available in the execution context via get_safe_globals(). An authenticated attacker with access to configure Dunning Type and its child table Dunning Letter Text can inject arbitrary Jinja expressions, resulting in server-side code execution within a restricted but still unsafe context. This can leak database information.
📍 영향받는 시스템
Frappe ERPNext 15.89.0 및 그 이전 버전
⚔️ 공격 벡터
Dunning Type 및 Dunning Letter Text 설정을 변경할 수 있는 권한을 가진 인증된 공격자가 Jinja2 표현식을 주입
🛡️ 대응 방법
Frappe ERPNext를 최신 보안 패치가 적용된 버전으로 업데이트하고, 관련 설정 권한을 최소화함
🔧 검증 코드
출력된 버전 정보가 15.89.0 이하인지 확인하여 취약 여부를 판단합니다.
bench version | grep -E 'frappe|erpnext'