🇰🇷 한글 설명
ERPNext는 무료 오픈소스 전사적 자원 관리(ERP) 도구입니다. 15.101.1 및 16.10.0 이전 버전의 특정 엔드포인트에는 경로 제한이 부적절하게 구현된 경로 탐색(Path Traversal) 취약점이 존재하며, 인증된 인접 공격자가 임의의 파일을 읽을 수 있습니다. 해당 취약점은 15.101.1 및 16.10.0 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 사용자가 특정 기능을 악용하면 서버의 허용되지 않은 파일까지 열람할 수 있습니다. 이를 막으려면 ERPNext를 최신 보안 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.101.1 and 16.10.0, an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability on an endpoint allows an authenticated adjacent attacker to read arbitrary files. This vulnerability is fixed in 15.101.1 and 16.10.0.
📍 영향받는 시스템
ERPNext 15.101.1 미만 및 16.10.0 미만 버전
⚔️ 공격 벡터
인증된 인접 사용자가 취약한 엔드포인트에 조작된 경로를 전달하여 임의 파일을 읽음
🛡️ 대응 방법
ERPNext를 15.101.1 이상 또는 16.10.0 이상으로 업데이트
🔧 검증 코드
출력된 버전이 15.101.1 이상 또는 16.10.0 이상이면 패치가 적용된 것이며, 그보다 낮으면 취약한 상태입니다.
cd $(dirname $(find / -path '*/erpnext/hooks.py' 2>/dev/null | head -1))/../.. 2>/dev/null && cat erpnext/__init__.py 2>/dev/null | grep -E '__version__'