🇰🇷 한글 설명
Frappe 프레임워크의 REST API에서 접근 제어 우회 취약점이 발견되었습니다. 15.115.0 미만 버전에서는 사용자가 권한이 없는 연결된 DocType의 데이터를 읽을 수 있는 문제가 있습니다. 이는 링크 필드를 통해 참조되는 문서의 권한 검증이 일관되지 않게 이루어지기 때문입니다.
💡 쉬운 설명
로그인한 일반 사용자가 원래는 볼 수 없는 다른 정보들을 API를 통해 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 연결된 데이터의 권한을 제대로 확인하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
Frappe is a full-stack web application framework written in Python and JavaScript. Prior to version 15.115.0, an access control bypass in the REST API allows a user to read data from Linked DocTypes that they are not authorized to access. When a document references another document through a Link field, the framework does not consistently enforce the linked DocType's own permissions when the record is retrieved through the REST API, so a low-privileged authenticated user can obtain fields from linked records outside their permitted scope. This issue is fixed in version 15.115.0.
📍 영향받는 시스템
Frappe Framework 15.115.0 미만 버전
⚔️ 공격 벡터
인증된 저권한 사용자가 REST API를 사용하여 권한 밖의 연결된 DocType 데이터를 요청
🛡️ 대응 방법
Frappe 프레임워크를 버전 15.115.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 15.115.0보다 낮은지 확인
pip show frappe | grep Version