🇰🇷 한글 설명
ERPNext v16.0.1 및 Frappe Framework v16.1.1의 인쇄 형식 기능에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 사용자가 입력한 HTML이 PDF로 렌더링되기 전 충분히 검증되지 않아, 공격자가 외부 리소스를 참조하는 iframe 등을 포함시켜 서버가 내부 서비스나 클라우드 메타데이터 엔드포인트에 임의의 HTTP 요청을 보내도록 유도할 수 있습니다.
💡 쉬운 설명
웹사이트의 PDF 만들기 기능을 악용하여, 서버가 몰래 내부 네트워크나 중요한 정보가 담긴 주소로 접속하게 만드는 공격입니다. 이를 통해 공격자는 서버 내부의 민감한 정보를 훔쳐낼 수 있습니다.
🇺🇸 원문 (English)
A Server-Side Request Forgery (SSRF) vulnerability exists in the Print Format functionality of ERPNext v16.0.1 and Frappe Framework v16.1.1, where user-supplied HTML is insufficiently sanitized before being rendered into PDF. When generating PDFs from user-controlled HTML content, the application allows the inclusion of HTML elements such as <iframe> that reference external resources. The PDF rendering engine automatically fetches these resources on the server side. An attacker can abuse this behavior to force the server to make arbitrary HTTP requests to internal services, including cloud metadata endpoints, potentially leading to sensitive information disclosure.
📍 영향받는 시스템
ERPNext v16.0.1, Frappe Framework v16.1.1
⚔️ 공격 벡터
사용자 정의 HTML 내에 외부 리소스를 호출하는 iframe 태그를 삽입하여 서버 측 렌더링 엔진을 조작
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하고, HTML 입력값에 대한 강력한 화이트리스트 기반 필터링을 적용하십시오.
🔧 검증 코드
출력된 버전이 v16.1.1 이하인지 확인하여 취약 여부를 판단합니다.
pip show frappe-framework | grep -E 'Version'