🇰🇷 한글 설명
Mathesar 0.2.0~0.10.0에서 collaborators.list, tables.metadata.list, explorations.list, forms.list 엔드포인트가 사용자의 데이터베이스 접근 권한을 검증하지 않아, 인증된 사용자가 자신이 협력자가 아닌 데이터베이스의 메타데이터(테이블, 폼, 탐색, 협력자 정보)를 열람할 수 있습니다. 특히 공개 폼의 경우 폼 토큰이 노출되어 권한 없는 사용자가 폼을 제출할 수 있습니다.
💡 쉬운 설명
Mathesar 데이터베이스 관리 프로그램에서 사용자 권한 확인이 누락되어, 접근 권한이 없는 데이터베이스 정보를 볼 수 있습니다. 공개 폼의 경우 권한 없는 사람이 폼을 제출할 수 있게 됩니다.
🇺🇸 원문 (English)
Mathesar is a web application that makes working with PostgreSQL databases both simple and powerful. From 0.2.0 to before 0.10.0, collaborators.list, tables.metadata.list, explorations.list, and forms.list accept a database_id without verifying that the requesting user was a collaborator on that database. An authenticated user on the same Mathesar installation could use these methods to view Mathesar-managed metadata for databases where they were not a collaborator. Depending on the database and features in use, exposed metadata could include collaborator mappings, table metadata, saved exploration metadata, and form metadata. For forms, the exposed metadata included form tokens. For public forms, possession of the token is equivalent to possession of the public form link, which allows submission to the form under the form’s configured PostgreSQL role. This vulnerability is fixed in 0.10.0.
📍 영향받는 시스템
Mathesar 0.2.0 ~ 0.10.0 (0.10.0 포함 이전 버전)
⚔️ 공격 벡터
같은 Mathesar 설치 환경의 인증된 사용자가 메타데이터 API 엔드포인트에 타인의 database_id를 직접 전달하여 권한 없는 데이터베이스 정보 조회
🛡️ 대응 방법
Mathesar를 0.10.0 이상으로 업그레이드
🔧 검증 코드
출력된 Version이 0.10.0 이상이면 안전, 0.10.0 미만이면 취약함
pip show mathesar 2>/dev/null | grep Version