🇰🇷 한글 설명
django-pyas2 1.2.3 이하 버전에서 Partner 모델의 cmd_receive 및 cmd_send 필드를 통해 OS 명령 주입 취약점이 발생합니다. 해당 필드 값이 검증 없이 os.system() 함수로 직접 전달되어, 인증된 관리자가 서버에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 시스템 설정값에 악성 명령어를 입력하여 서버를 마음대로 조종할 수 있는 보안 결함입니다. AS2 메시지를 주고받는 과정에서 입력된 명령어가 그대로 실행되어 위험합니다.
🇺🇸 원문 (English)
django-pyas2 through 1.2.3 is vulnerable to OS command injection via the cmd_receive and cmd_send fields on the Partner model. These fields are passed directly to os.system() in pyas2/utils.py without sanitization, allowing an authenticated admin user to execute arbitrary commands on the server when an AS2 message is received or sent.
📍 영향받는 시스템
django-pyas2 1.2.3 이하 모든 버전
⚔️ 공격 벡터
인증된 관리자가 Partner 모델의 cmd_receive 또는 cmd_send 필드에 악성 OS 명령어를 삽입하여 공격
🛡️ 대응 방법
django-pyas2를 최신 보안 패치 버전으로 업데이트하거나, os.system() 호출 전 입력값에 대한 엄격한 검증 로직을 추가해야 합니다.
🔧 검증 코드
출력된 버전이 1.2.3 이하인 경우 해당 취약점에 노출된 상태입니다.
pip show django-pyas2 | grep Version