🇰🇷 한글 설명
InvoicePlane 1.7.2 미만 버전에서 Invoices::delete() 및 Invoices::delete_invoice_tax() 함수가 POST 요청 및 CSRF 토큰 검증 없이 상태를 변경할 수 있는 취약점이 존재합니다. 인증된 관리자가 공격자가 제어하는 콘텐츠를 로드할 경우, 관리자의 의도와 상관없이 송장 또는 송장 세금 기록이 삭제될 수 있습니다.
💡 쉬운 설명
관리자가 악성 링크를 클릭하거나 특정 페이지를 방문하면, 관리자 몰래 중요한 송장 데이터가 삭제될 수 있는 보안 결함입니다. 공격자가 관리자의 권한을 도용하여 데이터를 지우는 방식입니다.
🇺🇸 원문 (English)
InvoicePlane is a self-hosted open source application for managing invoices, clients, and payments. Prior to 1.7.2, InvoicePlane exposes Invoices::delete() and Invoices::delete_invoice_tax() as state-changing routes without requiring POST and validating a CSRF token. When an authenticated administrator loads attacker-controlled content that requests an affected route, the application can delete an invoice or invoice tax record. The cross-origin action can remove financial data without the administrator's intent. This issue is fixed in version 1.7.2.
📍 영향받는 시스템
InvoicePlane 1.7.2 미만 모든 버전
⚔️ 공격 벡터
CSRF(교차 사이트 요청 위조)를 통한 인증된 관리자의 세션 이용
🛡️ 대응 방법
InvoicePlane를 최신 버전인 1.7.2 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 InvoicePlane의 버전이 1.7.2 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://<target_ip>/path/to/invoiceplane | grep -i 'version' || echo 'Version check requires manual inspection of composer.json or application files'