🇰🇷 한글 설명
InvenTree 오픈소스 재고 관리 시스템의 취약점으로, 인증된 사용자가 다른 사용자의 ID를 사용하여 관리자나 슈퍼유저의 API 토큰을 생성할 수 있습니다. 생성된 토큰은 즉시 해당 사용자의 권한으로 API 인증에 사용될 수 있어 시스템 전체 제어권을 탈취당할 위험이 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 다른 사람, 심지어 관리자의 이름으로 된 '마스터 키'를 마음대로 만들 수 있는 보안 결함입니다. 이 키를 이용하면 관리자처럼 시스템의 모든 데이터를 조작하거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
InvenTree is an Open Source Inventory Management System. From 0.16.0 to before 1.2.7, any authenticated InvenTree user can create a valid API token attributed to any other user in the system — including administrators and superusers — by supplying the target's user ID in the user field of a POST /api/user/tokens/ request. The returned token is immediately usable for full API authentication as the target user, from any network location, with no further interaction required. This vulnerability is fixed in 1.2.7 and 1.3.0.
📍 영향받는 시스템
InvenTree 0.16.0 버전부터 1.2.7 미만 버전까지
⚔️ 공격 벡터
POST /api/user/tokens/ 요청 시 대상 사용자의 ID를 입력하여 타인의 API 토큰을 생성
🛡️ 대응 방법
InvenTree를 1.2.7 또는 1.3.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.2.7 미만(0.16.0 ~ 1.2.6)인 경우 취약한 상태입니다.
python3 -c "import inventree; print(inventree.__version__)" 2>/dev/null || echo 'Version check failed'