🇰🇷 한글 설명
ERPNext는 무료 오픈소스 전사적 자원 관리(ERP) 도구입니다. 15.104.3 및 16.12.0 이전 버전에서 EDI 모듈의 XML 외부 엔티티(XXE) 참조 제한이 부적절하여, 인증된 공격자가 민감한 설정 파일을 포함한 로컬 파일 시스템의 파일을 읽을 수 있습니다. 이 취약점은 15.104.3 및 16.12.0 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 사용자가 특수한 XML 데이터를 이용해 서버 안의 파일을 몰래 읽을 수 있는 취약점입니다. 데이터베이스 비밀번호 같은 중요한 설정 정보가 노출될 수 있으므로 빠른 업데이트가 필요합니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.104.3 and 16.12.0, an improper restriction of XML external entity (XXE) reference vulnerability in the EDI Module enables an authenticated attacker to read files from the local file system, including sensitive configuration files. This vulnerability is fixed in 15.104.3 and 16.12.0.
📍 영향받는 시스템
ERPNext 15.104.3 미만 및 16.12.0 미만 버전 (EDI 모듈 사용 환경)
⚔️ 공격 벡터
인증된 사용자가 EDI 모듈에 악의적인 XML 외부 엔티티를 포함한 문서를 전송하여 서버의 로컬 파일을 읽음
🛡️ 대응 방법
ERPNext를 15.104.3 이상 또는 16.12.0 이상으로 업데이트하고, 노출이 의심되면 설정 파일의 자격 증명을 교체
🔧 검증 코드
출력된 __version__ 값이 15.104.3 이상(15.x 브랜치) 또는 16.12.0 이상(16.x 브랜치)이면 패치된 것이고, 그보다 낮으면 취약한 버전입니다.
cd $(dirname $(find / -name 'frappe-bench' -type d 2>/dev/null | head -1))/frappe-bench 2>/dev/null && cat apps/erpnext/erpnext/__init__.py 2>/dev/null | grep -E '__version__'