🇰🇷 한글 설명
yudao-cloud 2026.09 이하 버전에는 인가 우회 취약점이 존재합니다. 인증된 사용자가 data-permission-enable 헤더를 false로 설정하면 행 단위 데이터 범위 제한을 우회할 수 있습니다. 이 헤더는 DataPermissionRpcWebFilter가 신뢰하여, 같은 테넌트 내 다른 부서와 사용자의 데이터를 조회하거나 수정할 수 있게 됩니다.
💡 쉬운 설명
로그인한 일반 사용자가 특정 숨김 설정을 보내면 자신의 부서 데이터만 볼 수 있는 제한을 무시할 수 있습니다. 그 결과 같은 회사 안의 다른 부서나 사용자의 정보를 열람하거나 바꿀 수 있습니다.
🇺🇸 원문 (English)
yudao-cloud through 2026.09 contains an authorization bypass vulnerability that allows authenticated users to evade row-level data scope restrictions by sending a data-permission-enable header set to false. Attackers can add this header to /admin-api requests, which DataPermissionRpcWebFilter trusts, to read or modify other departments' and users' records within the same tenant.
📍 영향받는 시스템
yudao-cloud 2026.09 이하 버전
⚔️ 공격 벡터
인증된 사용자가 /admin-api 요청에 data-permission-enable: false 헤더를 추가하여 데이터 권한 검사를 우회
🛡️ 대응 방법
yudao-cloud를 2026.09 이후의 수정된 버전으로 업그레이드하고, 외부에서 data-permission-enable 헤더를 받지 않도록 필터에서 제거
🔧 검증 코드
결과에 헤더를 신뢰하는 필터 코드가 나타나면 취약하며, 아무 결과가 없으면 헤더 처리 로직이 제거되었거나 설치 경로가 다른 것이므로 경로를 확인하거나 버전을 직접 점검해야 합니다.
grep -rn 'data-permission-enable' /opt/yudao* 2>/dev/null | head -5