🇰🇷 한글 설명
InvenTree 오픈소스 재고 관리 시스템의 특정 버전에서 스태프 권한을 가진 사용자가 슈퍼유저 권한 없이도 API를 통해 플러그인을 설치할 수 있는 취약점이 발견되었습니다. 이는 플러그인 삭제 시 슈퍼유저 권한이 필요한 것과 일치하지 않는 권한 설정 오류입니다. 이 취약점을 통해 스태프 사용자가 임의의 악성 플러그인을 설치할 수 있습니다.
💡 쉬운 설명
일반 직원 권한을 가진 사람이 관리자만 할 수 있는 프로그램 설치 기능을 마음대로 사용할 수 있는 문제입니다. 이를 통해 나쁜 의도를 가진 사람이 시스템에 해로운 프로그램을 몰래 설치할 위험이 있습니다.
🇺🇸 원문 (English)
InvenTree is an Open Source Inventory Management System. Prior to 1.2.7 and 1.3.0, any users who have staff access permissions can install plugins via the API, without requiring "superuser" account access. This level of permission requirement is out of alignment with other plugin actions (such as uninstalling) which do require superuser access. The vulnerability allows staff users (who may be considered to have a lower level of trust than a superuser account) to install arbitrary (and potentially harmful) plugins. This vulnerability is fixed in 1.2.7 and 1.3.0.
📍 영향받는 시스템
InvenTree 1.2.7 및 1.3.0 미만 버전
⚔️ 공격 벡터
스태프 권한을 가진 사용자가 API를 호출하여 임의의 플러그인을 설치
🛡️ 대응 방법
InvenTree를 최신 보안 패치가 적용된 1.2.7 또는 1.3.0 이상의 버전으로 업데이트
🔧 검증 코드
API 응답 결과에서 버전 번호가 1.2.7 또는 1.3.0 이상인지 확인하여 취약 여부를 판단합니다.
curl -s http://<target-ip>/api/version | grep -E '1.2.7|1.3.0'