🇰🇷 한글 설명
ERPNext는 무료 오픈소스 전사적 자원 관리(ERP) 도구입니다. 15.111.0 및 16.22.0 이전 버전에서는 표준 운영 역할을 가진 인증된 사용자가 설정 필드를 통해 서버 측 템플릿 인젝션을 유발할 수 있으며, 이로 인해 사용자의 일반 권한 범위를 벗어난 데이터가 무단으로 노출될 수 있습니다. 이 문제는 15.111.0 및 16.22.0 버전에서 수정되었습니다.
💡 쉬운 설명
일반 직원 계정으로 로그인한 사용자가 설정 입력란에 특수한 코드를 넣어 서버를 조작할 수 있는 취약점입니다. 이를 통해 원래는 볼 수 없는 회사 내부 정보까지 열람될 수 있습니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, an authenticated user with a standard operational role can trigger server-side template injection through a configuration field, resulting in unauthorized disclosure of data outside the user's normal permission scope. This issue is fixed in versions 15.111.0 and 16.22.0.
📍 영향받는 시스템
ERPNext 15.111.0 미만 및 16.22.0 미만 버전
⚔️ 공격 벡터
표준 운영 권한을 가진 인증된 사용자가 설정 필드에 템플릿 인젝션 페이로드를 입력하여 권한 밖의 데이터를 조회
🛡️ 대응 방법
ERPNext를 15.111.0 이상 또는 16.22.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 15.111.0 이상(15.x 계열) 또는 16.22.0 이상(16.x 계열)이면 패치된 것이고, 그보다 낮으면 취약한 상태입니다.
cd $(dirname $(which bench 2>/dev/null || echo /dev/null)) 2>/dev/null; python3 -c "import frappe, sys; print(frappe.__version__)" 2>/dev/null || grep -rh '"version"' apps/erpnext/erpnext/__init__.py 2>/dev/null | head -1