🇰🇷 한글 설명
ERPNext는 무료 오픈소스 전사적 자원 관리(ERP) 도구입니다. 15.104.3 및 16.14.0 이전 버전에서는 일부 엔드포인트가 특수하게 조작된 요청을 통해 SQL 인젝션에 취약했으며, 이를 통해 악의적인 공격자가 민감한 정보를 추출할 수 있었습니다. 이 취약점은 15.104.3 및 16.14.0 버전에서 수정되었습니다.
💡 쉬운 설명
ERPNext라는 기업 관리 프로그램에 해커가 특별한 요청을 보내 데이터베이스의 민감한 정보를 훔쳐갈 수 있는 보안 결함이 있었습니다. 해당 버전을 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.104.3 and 16.14.0, some endpoints were vulnerable to SQL injection through specially crafted requests, which would allow a malicious actor to extract sensitive information. This vulnerability is fixed in 15.104.3 and 16.14.0.
📍 영향받는 시스템
ERPNext 15.104.3 미만 및 16.14.0 미만 버전
⚔️ 공격 벡터
특수하게 조작된 HTTP 요청을 취약한 엔드포인트로 전송하여 SQL 인젝션을 통해 데이터베이스 정보를 추출
🛡️ 대응 방법
ERPNext를 15.104.3 이상 또는 16.14.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 __version__ 값이 15.104.3 이상(15.x 계열) 또는 16.14.0 이상(16.x 계열)이면 패치된 것이며, 그보다 낮으면 취약한 버전입니다.
cd $(bench --site all list-apps 2>/dev/null | head -1 >/dev/null; pwd) && cat apps/erpnext/erpnext/__init__.py 2>/dev/null | grep -E '__version__'