🇰🇷 한글 설명
ERPNext는 무료 오픈소스 전사적 자원 관리(ERP) 도구입니다. 16.9.1 이전 버전에서는 일부 엔드포인트가 적절한 권한 검사를 수행하지 않아, 사용자가 자신의 역할에 허용된 범위를 넘어 데이터를 수정할 수 있습니다. 이 취약점은 16.9.1 버전에서 수정되었습니다.
💡 쉬운 설명
일반 사용자가 본인에게 허용되지 않은 데이터까지 수정할 수 있는 보안 결함입니다. 회계나 인사 등 중요한 기업 데이터가 무단으로 변경될 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 16.9.1, certain endpoints failed to enforce proper authorization checks, allowing users to modify data beyond their permitted role. This vulnerability is fixed in 16.9.1.
📍 영향받는 시스템
ERPNext 16.9.1 미만 버전
⚔️ 공격 벡터
낮은 권한의 인증된 사용자가 취약한 API 엔드포인트에 요청을 보내 권한 밖의 데이터를 수정
🛡️ 대응 방법
ERPNext를 16.9.1 이상 버전으로 업데이트
🔧 검증 코드
출력된 __version__ 값이 16.9.1 미만이면 취약, 16.9.1 이상이면 패치 적용된 상태입니다. 출력이 없으면 ERPNext 설치 경로를 직접 확인해야 합니다.
cd $(dirname $(find / -path '*/apps/frappe' -type d 2>/dev/null | head -1))/.. 2>/dev/null && cat apps/erpnext/erpnext/__init__.py 2>/dev/null | grep -E '__version__'