🇰🇷 한글 설명
ERPNext의 특정 상태 변경 엔드포인트에서 적절한 권한 확인이 이루어지지 않는 취약점이 발견되었습니다. 권한이 낮은 인증된 사용자가 쓰기, 제출, 취소 또는 역할 체크를 우회하여 허용되지 않은 데이터를 수정할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 원래는 할 수 없는 데이터 수정 작업을 마음대로 수행할 수 있는 보안 결함입니다. 이를 통해 시스템의 중요한 정보를 임의로 변경할 위험이 있습니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.121.0 and 16.34.0, certain endpoints for status modification fail to enforce proper authorization checks. A low-privileged authenticated user can invoke state-changing whitelisted methods without required write, submit, cancel, document, or role checks. This allows the user to modify data beyond the user's permitted role. This issue is fixed in versions 15.121.0 and 16.34.0.
📍 영향받는 시스템
ERPNext 15.121.0 및 16.34.0 미만 버전
⚔️ 공격 벡터
권한이 낮은 인증된 사용자가 권한 검증이 누락된 화이트리스트 메서드를 호출하여 공격
🛡️ 대응 방법
ERPNext를 버전 15.121.0 또는 16.34.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 15.121.0 또는 16.34.0보다 낮은지 확인하십시오.
pip show erpnext | grep Version