🇰🇷 한글 설명
Frappe 프레임워크의 특정 버전에서 인증된 사용자가 조작된 링크를 통해 서버에서 악성 템플릿을 실행할 수 있는 취약점이 발견되었습니다. 이 취약점을 악용하면 공격자가 서버에서 원격 코드를 실행(RCE)할 수 있습니다. 해당 문제는 14.99.6 및 15.88.1 버전에서 수정되었습니다.
💡 쉬운 설명
권한이 있는 사용자가 가짜 링크를 클릭하면 해커가 서버를 마음대로 조종할 수 있는 위험한 문제입니다. 서버에 명령을 내려 정보를 빼가거나 시스템을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
Frappe is a full-stack web application framework. Prior to versions 14.99.6 and 15.88.1, an authenticated user with specific permissions could be tricked into accessing a specially crafted link. This could lead to a malicious template being executed on the server, resulting in remote code execution. Versions 14.99.6 and 15.88.1 fix the issue. No known workarounds are available.
📍 영향받는 시스템
Frappe Framework (14.99.6 및 15.88.1 미만 버전)
⚔️ 공격 벡터
특정 권한을 가진 인증된 사용자를 대상으로 한 조작된 링크 클릭 유도 (Social Engineering/Link Manipulation)
🛡️ 대응 방법
Frappe 프레임워크를 최신 보안 패치가 적용된 버전(14.99.6 또는 15.88.1 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 현재 설치된 Frappe 버전이 출력된다면 취약한 버전이 설치되어 있을 가능성이 높습니다.
bench version | grep -E 'frappe' | grep -vE '14.99.6|15.88.1'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server