🇰🇷 한글 설명
오픈 소스 재고 관리 시스템인 InvenTree의 1.2.6 미만 버전에서 보고서 템플릿 엔진을 통한 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 권한을 가진 스태프 사용자가 악의적으로 조작된 템플릿 태그를 사용하여 서버 파일 시스템의 임의 파일을 읽을 수 있습니다. 이 문제는 1.2.6 및 1.3.0 이상의 버전에서 패치되었습니다.
💡 쉬운 설명
시스템 관리 권한을 가진 사용자가 특수한 명령어를 입력하여 서버에 저장된 다른 중요한 파일들을 몰래 훔쳐볼 수 있는 문제입니다. 이를 방지하려면 시스템을 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
InvenTree is an Open Source Inventory Management System. Prior to version 1.2.6, a path traversal vulnerability in the report template engine allows a staff-level user to read arbitrary files from the server filesystem via crafted template tags. Affected functions: `encode_svg_image()`, `asset()`, and `uploaded_image()` in `src/backend/InvenTree/report/templatetags/report.py`. This requires staff access (to upload / edit templates with maliciously crafted tags). If the InvenTree installation is configured with high access privileges on the host system, this path traversal may allow file access outside of the InvenTree source directory. This issue is patched in version 1.2.6, and 1.3.0 (or above). Users should update to the patched versions. No known workarounds are available.
📍 영향받는 시스템
InvenTree version 1.2.6 미만
⚔️ 공격 벡터
스태프 권한을 가진 사용자가 악의적으로 조작된 템플릿 태그를 사용하여 서버 파일 시스템에 접근
🛡️ 대응 방법
InvenTree를 1.2.6 또는 1.3.0 이상의 패치된 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.2.6 미만인지 확인하여 취약 여부를 판단합니다.
python3 -c "import inventree; print(f'{inventree.__version__}')" 2>/dev/null || echo 'InvenTree not installed'