🇰🇷 한글 설명
Penpot 2.18.0 미만 버전에서 delete-share-link RPC 호출 시 공유 링크의 소유권이나 관리자 권한을 제대로 검증하지 않는 취약점이 발견되었습니다. 이로 인해 파일 편집 권한을 가진 사용자가 다른 사용자가 생성한 공유 링크 ID를 알 경우, 해당 링크를 임의로 삭제하여 외부 검토자의 접근을 차단할 수 있습니다.
💡 쉬운 설명
디자인 도구인 Penpot에서 파일을 수정할 수 있는 권한만 있으면, 다른 사람이 만든 공유 링크를 마음대로 지울 수 있는 문제입니다. 이로 인해 외부 협력자가 작업물을 볼 수 없게 방해받을 수 있습니다.
🇺🇸 원문 (English)
Penpot is an open-source design and prototyping platform. Prior to 2.18.0, the delete-share-link RPC retrieves a caller-selected share-link ID and verifies only that the caller can edit the parent file. It does not verify that the caller created the share link or has owner or administrator authority, allowing any file editor who knows a share-link UUID to delete links created by other users and revoke external reviewers' access. This issue is fixed in version 2.18.0.
📍 영향받는 시스템
Penpot 2.18.0 미만 모든 버전
⚔️ 공격 벡터
공유 링크의 UUID를 알고 있는 파일 편집자가 삭제 RPC를 호출하여 권한 없는 링크 삭제
🛡️ 대응 방법
Penpot를 최신 버전인 2.18.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 2.18.0 이상의 버전 번호가 포함되어 있는지 확인하십시오.
curl -s http://<penpot-host>/api/version | grep -E '2.18.0'