🇰🇷 한글 설명
Mathesar 웹 애플리케이션의 exploration 관련 API에서 접근 제어 검증이 누락되어 있습니다. 인증된 사용자가 exploration ID를 알면 자신이 협력자가 아닌 데이터베이스의 저장된 탐색을 열람, 수정, 삭제할 수 있습니다.
💡 쉬운 설명
Mathesar 데이터베이스 도구에서 권한 확인 없이 다른 사람의 저장된 쿼리를 보고 지울 수 있는 문제입니다. ID만 알면 접근 권한이 없어도 조작이 가능합니다.
🇺🇸 원문 (English)
Mathesar is a web application that makes working with PostgreSQL databases both simple and powerful. From 0.2.0 to before 0.10.0, explorations.get, explorations.replace, and explorations.delete operate on an exploration_id without verifying that the requesting user was a collaborator on the exploration’s database. An authenticated user on the same Mathesar installation who knew or guessed an exploration ID could read, replace, or delete a saved exploration belonging to a database where they were not a collaborator. This affected Mathesar-managed saved exploration definitions, including names, descriptions, selected columns, display metadata, filters, sorting, and transformations. This vulnerability is fixed in 0.10.0.
📍 영향받는 시스템
Mathesar 0.2.0 ~ 0.9.x (0.10.0 이상에서 수정됨)
⚔️ 공격 벡터
인증된 사용자가 exploration ID를 추측하거나 입수하여 API 직접 호출(GET, POST, DELETE)
🛡️ 대응 방법
Mathesar를 0.10.0 이상으로 업그레이드
🔧 검증 코드
설치된 Mathesar 버전이 0.10.0 미만이면 취약함. 버전이 없으면 미설치 상태
pip show mathesar 2>/dev/null | grep -E 'Version|Name'