🇰🇷 한글 설명
ERPNext의 특정 버전에서 send_auto_email 함수에 권한 확인 절차가 누락되어 발생하는 취약점입니다. 이를 통해 인증된 저권한 사용자가 허용되지 않은 역할로 자동 이메일 발송 기능을 실행할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 원래는 할 수 없는 자동 이메일 발송 기능을 마음대로 실행할 수 있는 문제입니다. 이로 인해 시스템의 자동화된 메일 기능이 오용될 위험이 있습니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, the send_auto_email function in erpnext/accounts/doctype/process_statement_of_accounts/process_statement_of_accounts.py lacks a Process Statement Of Accounts permission check, allowing an authenticated low-privilege user to trigger automated emails outside the permitted role. This issue is fixed in versions 15.111.0 and 16.22.0.
📍 영향받는 시스템
ERPNext 15.111.0 및 16.22.0 미만 버전
⚔️ 공격 벡터
인증된 저권한 사용자가 권한 검증이 누락된 API 또는 함수를 호출하여 실행
🛡️ 대응 방법
ERPNext를 15.111.0 또는 16.22.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 15.111.0 또는 16.22.0보다 낮은지 확인하여 취약 여부를 판단합니다.
pip show erpnext | grep Version