🇰🇷 한글 설명
Wekan 9.32 미만 버전에서 OIDC 관련 Meteor 메서드가 관리자 권한 확인 없이 전역적으로 호출될 수 있는 취약점이 발견되었습니다. 인증된 사용자가 조직 및 팀 설정을 임의로 수정하거나, 특정 설정 시 전역 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 관리자만 할 수 있는 설정 변경을 마음대로 할 수 있는 보안 구멍입니다. 이를 통해 공격자가 시스템 전체의 관리자 권한을 몰래 가져갈 수도 있습니다.
🇺🇸 원문 (English)
Wekan is open source kanban built with Meteor. Prior to 9.32, Wekan OIDC-related Meteor methods in packages/wekan-oidc/oidc_server.js, server/models/org.js, and server/models/team.js are globally callable without the admin authorization checks used by their non-OIDC counterparts. Authenticated users can call setCreateOrgFromOidc, setOrgAllFieldsFromOidc, setCreateTeamFromOidc, setTeamAllFieldsFromOidc, boardRoutineOnLogin, or groupRoutineOnLogin to create or modify organizations and teams, and groupRoutineOnLogin can grant global admin privileges when PROPAGATE_OIDC_DATA is enabled. This issue is fixed in version 9.32.
📍 영향받는 시스템
Wekan 9.32 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 누락된 특정 OIDC 관련 API 메서드를 직접 호출하여 공격
🛡️ 대응 방법
Wekan을 최신 보안 패치가 적용된 9.32 버전 이상으로 업데이트
🔧 검증 코드
출력된 Wekan의 버전 숫자가 9.32보다 낮으면 취약한 상태입니다.
npm list -g wekan | grep -E 'wekan@([0-9]+\.[0-9]+)'