🇰🇷 한글 설명
ERPNext의 Sales Person-wise Transaction Summary 보고서 내 특정 엔드포인트에서 적절한 권한 검사가 수행되지 않는 취약점이 발견되었습니다. 권한이 제한된 인증된 사용자가 해당 보고서를 요청할 경우, 자신의 문서 권한 범위를 벗어난 재무 거래 데이터를 조회할 수 있습니다.
💡 쉬운 설명
로그인한 직원이 자신에게 허용되지 않은 다른 사람의 매출이나 재무 정보를 몰래 볼 수 있는 보안 구멍이 발견되었습니다. 권한 설정이 제대로 작동하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.118.0 and 16.27.0, certain endpoints in the Sales Person-wise Transaction Summary report fail to enforce proper authorization checks. When a role-limited authenticated user requests the affected financial report, the query can query financial transaction rows without applying the requesting user's document permission match conditions. This allows the user to read financial data beyond the user's permitted role. This issue is fixed in versions 15.118.0 and 16.27.0.
📍 영향받는 시스템
ERPNext 버전 15.118.0 미만 및 16.27.0 미만
⚔️ 공격 벡터
권한이 제한된 인증된 사용자가 조작된 요청을 통해 재무 보고서 엔드포인트에 접근
🛡️ 대응 방법
ERPNext를 버전 15.118.0 또는 16.27.0 이상으로 업데이트
🔧 검증 코드
출력된 ERPNext 버전이 15.118.0 또는 16.27.0보다 높은지 확인하여 패치 여부를 판단합니다.
bench version | grep -E 'erpnext.*(15\[0-9]+\.[0-9]+|16\[0-9]+\.[0-9]+)'