🇰🇷 한글 설명
ERPNext의 Frappe safe execution 환경에서 frappe.render_template 함수가 restrict_globals 설정을 강제하지 않아 발생하는 보안 취약점입니다. 권한이 제한된 인증된 사용자가 이를 악용하여 서버 측 템플릿 주입(SSTI) 및 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
시스템에 로그인할 수 있는 사용자가 특수한 명령어를 입력하여 서버를 마음대로 조종할 수 있는 위험한 결함입니다. 이로 인해 해커가 서버의 모든 데이터를 훔치거나 시스템을 파괴할 수 있습니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, limited authenticated users can cross a permission boundary in Frappe safe execution because frappe.render_template is exposed without forcing restrict_globals, allowing server-side template injection and remote code execution. This issue is fixed in versions 15.111.0 and 16.22.0.
📍 영향받는 시스템
ERPNext 버전 15.111.0 및 16.22.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 frappe.render_template 함수를 통해 조작된 템플릿 코드를 주입하여 서버 명령을 실행
🛡️ 대응 방법
ERPNext를 최신 보안 패치가 적용된 버전(15.111.0 또는 16.22.0 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 15.111.0 또는 16.22.0보다 낮은지 확인
pip show frappe | grep Version