🇰🇷 한글 설명
VentureDrake Laravel CRM 2.4.0 미만 버전에서 사용자 관리 권한 설정 오류가 발견되었습니다. 인증된 관리자가 Role::find를 통해 제한 없이 역할을 부여할 수 있으며, 권한 범위가 지정되지 않은 UserIndex delete() 메서드를 통해 타 팀의 사용자를 삭제할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 원래 허용되지 않은 높은 권한을 스스로 부여하거나 다른 팀의 사용자를 마음대로 삭제할 수 있는 보안 결함입니다. 권한 관리가 제대로 이루어지지 않아 시스템 전체의 통제권이 흔들릴 수 있습니다.
🇺🇸 원문 (English)
VentureDrake Laravel CRM before 2.4.0 contains an incorrect authorization vulnerability in user management that allows authenticated administrators to assign unrestricted roles via Role::find. Attackers with user-management access can assign the Owner role or other teams' roles and delete cross-team users through the unscoped UserIndex delete() method.
📍 영향받는 시스템
VentureDrake Laravel CRM 2.4.0 미만 버전
⚔️ 공격 벡터
인증된 관리자 권한을 이용한 권한 상승 및 비인가 데이터 삭제
🛡️ 대응 방법
VentureDrake Laravel CRM을 2.4.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.4.0 미만인지 확인하여 취약 여부를 판단합니다.
composer show venturedrake/laravel-crm | grep 'versions'