🇰🇷 한글 설명
alf.io 티켓 예약 시스템의 이전 버전에서 부적절한 접근 제어 취약점이 발견되었습니다. 조직 소유자가 특정 엔드포인트를 통해 시스템 수준의 구성 비밀 정보와 API 키를 읽을 수 있는 문제입니다. 버전 2.0-M5-2605에서 이 문제가 해결되었습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 조직 관리자가 시스템 전체의 중요한 비밀번호나 보안 키를 몰래 훔쳐볼 수 있는 보안 결함입니다. 이로 인해 시스템 전체의 보안이 위험해질 수 있습니다.
🇺🇸 원문 (English)
alf.io is an open source ticket reservation system for conferences, trade shows, workshops, and meetups. An Improper Access Control issue in versions prior to 2.0-M5-2605 allows an organization owner to read system-level configuration secrets through organization/event scoped "single configuration" endpoints. The affected endpoints require organization or event ownership, but they accept an arbitrary configuration key and then return the first matching value from a lookup that includes system-level configuration. As a result, an organization owner can retrieve secrets intended to be administrator-only, including the system API key when it is configured. Version 2.0-M5-2605 fixes the issue.
📍 영향받는 시스템
alf.io versions prior to 2.0-M5-2605
⚔️ 공격 벡터
조직/이벤트 권한을 가진 사용자가 임의의 구성 키를 입력하여 시스템 수준의 비밀 정보를 요청함
🛡️ 대응 방법
alf.io를 버전 2.0-M5-2605 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 '2.0-M5-2605' 이상의 버전 정보가 포함되어 있으면 안전합니다.
curl -s http://<target-ip>/version | grep -E '2.0-M5-2605'