🇰🇷 한글 설명
InvenTree 1.4.0 미만 버전에서 /api/importer/row/ 및 /api/importer/mapping/ 엔드포인트가 데이터 임포트 세션의 소유권을 적절히 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증된 사용자는 타인의 임포트 세션 ID를 사용하여 해당 세션의 데이터와 컬럼 매핑 정보를 탈취할 수 있습니다. 해당 문제는 1.4.0 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 사용자라면 다른 사람이 데이터를 업로드하려고 준비 중인 내용을 몰래 훔쳐볼 수 있는 보안 허점이 발견되었습니다. 이는 개인정보나 중요한 데이터가 유출될 수 있는 위험을 초래합니다.
🇺🇸 원문 (English)
InvenTree is an Open Source Inventory Management System. Prior to 1.4.0, the /api/importer/row/ and /api/importer/mapping/ endpoints do not scope DataImportRow and DataImportColumnMap querysets to the owner of the associated DataImportSession. Any authenticated user, including an account with no assigned roles, can supply another user's import session identifier and retrieve that session's row_data and data fields together with its column mappings. This exposes the full contents of data staged for import across users, although the InvenTree threat model treats authenticated instance users as trusted. This issue is fixed in version 1.4.0.
📍 영향받는 시스템
InvenTree 1.4.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 타인의 DataImportSession 식별자를 사용하여 API 엔드포인트에 접근
🛡️ 대응 방법
InvenTree를 최신 버전인 1.4.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.4.0보다 낮은지 확인
pip show inventree | grep Version