🇰🇷 한글 설명
InvenTree 오픈소스 재고 관리 시스템에서 인증된 사용자가 원격 이미지 URL을 제공할 때 서버 측에서 검증 없이 이를 가져오는 취약점이 발견되었습니다. 내부 IP 범위나 호스트 이름에 대한 검증이 누락되었으며, 리다이렉트 허용 설정으로 인해 URL 형식 검사를 우회할 수 있습니다. 이 취약점은 SSRF(Server-Side Request Forgery) 공격으로 이어질 수 있습니다.
💡 쉬운 설명
공격자가 시스템에 가짜 이미지 주소를 입력하면, 서버가 내부 네트워크에 있는 중요한 정보에 대신 접근하게 만드는 보안 약점입니다. 이를 통해 서버 내부의 비밀 데이터가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
InvenTree is an Open Source Inventory Management System. Prior to 1.2.7 and 1.3.0, when INVENTREE_DOWNLOAD_FROM_URL is enabled (opt-in), authenticated users can supply remote_image URLs that are fetched server-side via requests.get() with only Django's URLValidator check. There is no validation against private IP ranges or internal hostnames. Redirects are followed (allow_redirects=True), enabling bypass of any URL-format checks. This vulnerability is fixed in 1.2.7 and 1.3.0.
📍 영향받는 시스템
InvenTree 1.2.7 및 1.3.0 미만 버전 (INVENTREE_DOWNLOAD_FROM_URL 옵션 활성화 시)
⚔️ 공격 벡터
인증된 사용자가 내부 네트워크 주소를 포함한 악의적인 URL을 이미지 경로로 입력하여 서버가 내부 자원에 요청을 보내도록 유도
🛡️ 대응 방법
InvenTree를 최신 보안 패치가 적용된 버전인 1.2.7 또는 1.3.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.2.7 또는 1.3.0보다 낮은 경우 취약한 상태입니다.
pip show inventree | grep Version