🇰🇷 한글 설명
InvoicePlane 1.7.2 미만 버전에서 업로드된 이미지 파일의 EXIF 메타데이터를 제거하지 않고 그대로 저장 및 제공하는 취약점이 발견되었습니다. 관리자가 첨부파일로 이미지를 업로드하고 이를 다른 사용자와 공유할 경우, 수신자는 이미지에 포함된 GPS 좌표, 타임스탬프, 기기 정보 등 민감한 정보를 추출할 수 있습니다.
💡 쉬운 설명
이미지 파일 속에 숨겨진 위치 정보나 기기 정보가 삭제되지 않고 그대로 남는 문제입니다. 이로 인해 사진을 받은 사람이 사진을 찍은 장소나 사용 중인 기기 정보를 알 수 있게 됩니다.
🇺🇸 원문 (English)
InvoicePlane is a self-hosted open source application for managing invoices, clients, and payments. Prior to 1.7.2, InvoicePlane stores and serves uploaded image attachments without stripping EXIF metadata. When an administrator uploads an image through invoice attachments, quote attachments, or another attachment feature and shares it with another user, the recipient can retrieve embedded GPS coordinates, timestamps, and device information. The preserved metadata can disclose private location and device details across users. This vulnerability is fixed in 1.7.2.
📍 영향받는 시스템
InvoicePlane 1.7.2 미만 모든 버전
⚔️ 공격 벡터
공유된 이미지 파일을 다운로드하여 EXIF 메타데이터 추출 도구로 분석
🛡️ 대응 방법
InvoicePlane를 최신 버전인 1.7.2 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 1.7.2 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://<target_url>/info.php | grep 'version'