🇰🇷 한글 설명
ProcessMaker의 `GET /api/1.0/tasks` 엔드포인트에서 `order_by` 파라미터를 통해 SQL 인젝션 취약점이 발생합니다. `applyColumnOrdering()` 메서드가 사용자 입력값을 검증 없이 SQL 서브쿼리에 직접 결합하기 때문에, 인증된 사용자가 시간 기반 블라인드 SQL 인젝션을 통해 데이터베이스 정보를 추출할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 특수하게 조작된 명령어를 입력하여 데이터베이스의 정보를 몰래 빼낼 수 있는 보안 약점입니다. 데이터베이스에 저장된 중요한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
ProcessMaker is an open source workflow management software suite. Prior to 2026.14.3, the `GET /api/1.0/tasks` endpoint in ProcessMaker is vulnerable to SQL injection through the order_by parameter because `ProcessMaker\Traits\TaskControllerIndexMethods::applyColumnOrdering()` concatenates a user-controlled process_requests column name into a DB::raw() SQL subquery without validation or parameter binding. Any authenticated user can use blind, time-based queries to infer and extract data accessible to the ProcessMaker database account. This issue is fixed in version 2026.14.3.
📍 영향받는 시스템
ProcessMaker 2026.14.3 미만 버전
⚔️ 공격 벡터
인증된 사용자가 API의 order_by 파라미터에 조작된 SQL 구문을 삽입하여 공격
🛡️ 대응 방법
ProcessMaker를 최신 보안 패치가 적용된 버전인 2026.14.3 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 시 응답 시간이 약 5초 이상 지연된다면 SQL 인젝션 취약점이 존재하는 것으로 판단합니다.
curl -s -X GET 'https://<target>/api/1.0/tasks?order_by=(CASE+WHEN+(1=1)+THEN+SLEEP(5)+ELSE+1+END)' | grep -i 'error'