🇰🇷 한글 설명
물리적 자산 추적 플랫폼인 Shelf에서 발생하는 교차 테넌트 IDOR 취약점입니다. 인증된 사용자가 타 조직의 엔티티 ID를 사용하여 권한 없이 다른 조직의 데이터를 읽거나 수정할 수 있으며, 특정 예약 제한 사항도 우회할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 회사의 데이터 ID를 알아내어 몰래 조회하거나 수정할 수 있는 보안 결함입니다. 이로 인해 기업 간 데이터 격리가 깨지고 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Shelf is a platform for tracking physical assets. Shelf is multi-tenant; data is isolated per organization (workspace). Prior to version 1.20.2, several endpoints accepted entity IDs from request input and `connect`-ed / read / updated them without verifying the IDs belonged to the caller's organization. An authenticated user in Org A who knew or obtained an ID belonging to Org B could act on Org B's data across organization boundaries (a cross-tenant IDOR). A loader-only restriction on personal-workspace bookings was also bypassable via a crafted POST. Version 1.20.2 patches the issue. No known workarounds are available.
📍 영향받는 시스템
Shelf platform versions prior to 1.20.2
⚔️ 공격 벡터
인증된 사용자가 요청 입력값에 타 조직의 엔티티 ID를 삽입하여 전송하는 방식 (IDOR)
🛡️ 대응 방법
Shelf 플랫폼을 버전 1.20.2 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.20.2 이상의 버전 번호가 포함되어 있으면 취약점이 해결된 상태입니다.
curl -s https://[shelf-instance-url]/api/version | grep -E '1.20.2'