🇰🇷 한글 설명
2026-07-10 기준 BadChoice Handesk의 권한 제어 결함으로 인해, 인증된 모든 에이전트가 LeadsController@update 엔드포인트를 통해 타 팀의 리드 기록을 덮어쓸 수 있습니다. 해당 엔드포인트는 권한 검사를 수행하지 않으며, Lead 모델의 mass-assignment 방지 설정이 비어 있어 모든 컬럼에 대한 수정이 가능합니다.
💡 쉬운 설명
로그인한 일반 직원이 다른 팀의 고객 정보를 마음대로 수정하거나 망가뜨릴 수 있는 보안 약점입니다. 시스템이 '이 사람이 이 정보를 고칠 권한이 있는지' 확인하지 않기 때문에 발생합니다.
🇺🇸 원문 (English)
A broken access control vulnerability in BadChoice Handesk as of 2026-07-10 allows any authenticated agent to overwrite lead records belonging to other teams via the LeadsController@update endpoint. The endpoint performs no authorization check, and the Lead model has guarded set to an empty array making all columns mass-assignable. An attacker with any agent account can corrupt lead data across team boundaries.
📍 영향받는 시스템
BadChoice Handesk (2026-07-10 이전 버전)
⚔️ 공격 벡터
인증된 에이전트 계정을 사용하여 LeadsController@update 엔드포인트로 타 팀의 리드 데이터를 포함한 HTTP 요청 전송
🛡️ 대응 방법
LeadsController@update 엔드포인트에 사용자 권한 검증 로직을 추가하고, Lead 모델의 mass-assignment 보호 설정을 복구해야 합니다.
🔧 검증 코드
권한이 없는 리드 ID로 수정 요청을 보냈을 때, 데이터가 변경되지 않고 권한 오류(403 Forbidden 등)가 발생하는지 확인합니다.
curl -s -X POST https://target-system/leads/update -d 'id=target_id&data=malicious' -H 'Authorization: Bearer <agent_token>' | grep -E 'success|error'