🇰🇷 한글 설명
오픈 소스 재고 관리 시스템인 InvenTree의 특정 버전에서 인증된 일반 사용자가 자신의 계정 권한을 관리자(staff) 수준으로 승격시킬 수 있는 취약점이 발견되었습니다. API 엔드포인트의 쓰기 권한 설정 오류로 인해 발생하며, 이는 1.2.7 및 1.3.0 버전에서 수정되었습니다.
💡 쉬운 설명
일반 사용자 계정으로 로그인한 사람이 시스템 설정을 몰래 조작하여 관리자 권한을 획득할 수 있는 보안 결함입니다. 권한 설정이 잘못되어 있어 누구나 자신의 등급을 높일 수 있는 상태입니다.
🇺🇸 원문 (English)
InvenTree is an Open Source Inventory Management System. Prior to 1.2.7 and 1.3.0, a non-staff authenticated user can elevate their account to a staff level via a POST request against their user account endpoint. The write permissions on the API endpoint are improperly configured, allowing any user to change their staff status. This vulnerability is fixed in 1.2.7 and 1.3.0.
📍 영향받는 시스템
InvenTree 1.2.7 및 1.3.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 자신의 계정 엔드포인트로 권한 변경을 포함한 POST 요청을 전송
🛡️ 대응 방법
InvenTree를 1.2.7 또는 1.3.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.2.7 또는 1.3.0보다 낮은지 확인하십시오.
python3 -c "import inventree; print(inventree.__version__)" 2>/dev/null || echo 'Version check failed'