🇰🇷 한글 설명
Coop은 ROOST가 개발한 오픈소스 리뷰 및 모더레이션 도구입니다. 1.0.2 이전 버전에서는 addAccessibleQueuesForUser 및 removeAccessibleQueuesForUser 함수가 조직 범위 검증 없이 임의의 queueId와 userId 값을 허용합니다. 이로 인해 인증된 사용자가 다른 조직 사용자의 수동 검토 큐 접근 권한을 부여하거나 회수할 수 있습니다.
💡 쉬운 설명
한 조직의 직원이 다른 조직 직원의 검토 작업 접근 권한을 마음대로 바꿀 수 있는 취약점입니다. 다른 조직의 데이터를 읽을 수는 없어 기밀 정보 유출은 없습니다.
🇺🇸 원문 (English)
Coop is an open source review and moderation tool from ROOST. Prior to 1.0.2, `addAccessibleQueuesForUser` and `removeAccessibleQueuesForUser` accepted arbitrary `queueId` and `userId` values without organization scoping. An authenticated user belonging to one organization and holding MRT queue-edit permission could grant or revoke another organization's users' access to manual review queues. The existing queue-edit permission check did not bind the supplied identifiers to the caller's organization. The attacker could not read the other organization's queues or jobs, so this issue did not disclose confidential data. This issue is fixed in version 1.0.2.
📍 영향받는 시스템
ROOST Coop 1.0.2 이전 버전
⚔️ 공격 벡터
동일 조직 내 MRT 큐 편집 권한을 가진 인증 사용자가 다른 조직의 queueId와 userId를 지정해 접근 권한을 부여 또는 회수
🛡️ 대응 방법
Coop을 1.0.2 이상으로 업그레이드하고 큐 접근 변경 시 조직 소속 여부를 검증하는 로직을 확인
🔧 검증 코드
출력된 버전이 1.0.2 미만이면 취약하고, 1.0.2 이상이면 패치가 적용된 것입니다.
cat package.json 2>/dev/null | grep -E '"version"'