🇰🇷 한글 설명
Press는 Frappe 기반 클라우드 인프라, 구독, 마켓플레이스 및 SaaS를 관리하는 커스텀 앱입니다. press.api.account.create_api_secret 엔드포인트가 데이터베이스에 쓰기 작업을 수행하면서도 GET 메서드로 접근 가능해 CSRF 유사 공격에 취약합니다. 커밋 52ea2f2d1b587be0807557e96f025f47897d00fd에서 허용 메서드를 POST로 제한하여 해결되었습니다.
💡 쉬운 설명
공격자가 사용자를 악성 링크로 유도하면 사용자 모르게 API 비밀키가 생성될 수 있습니다. 이 취약점은 요청 방식을 POST로 제한하는 방식으로 막을 수 있습니다.
🇺🇸 원문 (English)
Press, a Frappe custom app that runs Frappe Cloud, manages infrastructure, subscription, marketplace, and software-as-a-service (SaaS).`press.api.account.create_api_secret` is prone to CSRF-like exploits. This endpoint writes to database and it is also accessible via GET method. The patch in commit 52ea2f2d1b587be0807557e96f025f47897d00fd restricts method to POST.
📍 영향받는 시스템
Press 앱 (Frappe Cloud 기반) 패치 이전 버전
⚔️ 공격 벡터
피해자가 악성 링크나 페이지를 방문하면 GET 요청으로 API 비밀키 생성이 유발되어 계정 탈취로 이어질 수 있음
🛡️ 대응 방법
커밋 52ea2f2d1b587be0807557e96f025f47897d00fd가 적용된 최신 버전의 Press로 업데이트
🔧 검증 코드
출력이 1 이상이면 패치 커밋이 포함된 것이며, 0이면 취약 버전일 가능성이 높아 업데이트가 필요합니다.
cd $(bench --version >/dev/null 2>&1 && echo apps/press || echo ./apps/press) 2>/dev/null && git log --oneline | grep -c 52ea2f2d