🇰🇷 한글 설명
Wekan 오픈소스 칸반 도구의 권한 설정 오류로 인해, 보드 멤버가 정렬(sort) 필드를 수정할 때 권한 검증이 우회되는 취약점이 발견되었습니다. 공격자는 이를 악용하여 보드의 관리자 권한을 탈취하거나, 보드를 공개로 전환하고 기존 소유자를 추방할 수 있습니다.
💡 쉬운 설명
보드에 참여 중인 일반 사용자가 시스템의 허점을 이용해 관리자 권한을 몰래 뺏을 수 있는 문제입니다. 이를 통해 개인적인 보드를 공개로 바꾸거나 다른 사람을 쫓아낼 수 있습니다.
🇺🇸 원문 (English)
Wekan is open source kanban built with Meteor. Prior to 9.89, the second Boards.allow({ update }) rule in server/permissions/boards.js called canUpdateBoardSort in server/lib/utils.js, which authorized any board member whenever fieldNames included sort. Because Meteor combines allow rules with OR semantics and applies the complete modifier, a comment-only or read-only member could send one Boards.update with $set values for sort, members, permission, and title, make themselves the sole board administrator, expose a private board, and evict the legitimate owner; the last-admin deny rule inspected only $pull and did not block a wholesale $set of members. Version 9.89 requires sort to be the only modified field and rejects $set member arrays that remove the last active administrator. This issue is fixed in version 9.89.
📍 영향받는 시스템
Wekan versions prior to 9.89
⚔️ 공격 벡터
Boards.update 메서드에 $set 연산자를 사용하여 sort, members, permission 등 여러 필드를 동시에 수정하는 방식
🛡️ 대응 방법
Wekan을 최신 버전인 9.89 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 9.89 미만이면 취약한 상태이며, 9.89 이상이면 안전합니다.
npm list wekan 2>/dev/null | grep -E 'wekan@([0-9]+\.[0-9]+\.[0-9]+)'