🇰🇷 한글 설명
youlai-boot 2.21.1 이하 버전에서 인증된 사용자가 권한을 임의로 할당할 수 있는 권한 누락 취약점이 발견되었습니다. 낮은 권한을 가진 사용자라도 특정 API를 통해 자신의 역할에 모든 메뉴 및 버튼 권한을 부여하고 Redis 캐시를 갱신하여 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 시스템 설정을 몰래 바꿔서 관리자 권한을 스스로 만들어낼 수 있는 보안 구멍입니다. 이를 통해 일반 사용자가 시스템의 모든 기능을 마음대로 조작할 수 있게 됩니다.
🇺🇸 원문 (English)
youlai-boot through 2.21.1 contains a missing authorization vulnerability that allows authenticated users to assign arbitrary menu and button permissions to roles via PUT /api/v1/roles/{roleId}/menus. Low-privileged users such as the GUEST test account can grant all permissions to their own role, refreshing the Redis permission cache to gain administrator-equivalent access.
📍 영향받는 시스템
youlai-boot 2.21.1 이하 모든 버전
⚔️ 공격 벡터
인증된 사용자가 PUT /api/v1/roles/{roleId}/menus API를 호출하여 권한을 조작
🛡️ 대응 방법
해당 API에 대한 권한 검증 로직을 추가하고, 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
API 응답에서 현재 사용자의 역할(role)이나 권한 설정이 임의로 변경 가능한지 확인합니다.
curl -s -X GET http://<target-ip>/api/v1/roles/me | grep -E 'version|role'