🇰🇷 한글 설명
ERPNext의 특정 버전에서 add_ac 함수가 계정 생성 권한을 강제하지 않는 취약점이 발견되었습니다. 이를 통해 인증된 제한된 사용자가 권한 없이 회계 마스터 레코드를 생성하여 재무 데이터의 무결성과 감사 추적에 영향을 줄 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 허가 없이 회계 장부에 새로운 항목을 마음대로 추가할 수 있는 문제입니다. 이로 인해 회사의 재무 기록이 조작되거나 잘못된 정보가 입력될 위험이 있습니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.111.0 and 16.22.0, the add_ac function in erpnext/accounts/utils.py accepts the ignore_permissions argument without enforcing Account create permission, allowing an authenticated limited user to create unauthorized accounting master records and affect financial data integrity and audit trails. This issue is fixed in versions 15.111.0 and 16.22.0.
📍 영향받는 시스템
ERPNext 15.111.0 및 16.22.0 미만 버전
⚔️ 공격 벡터
인증된 제한된 권한을 가진 사용자가 API 또는 함수 호출을 통해 권한 검증을 우회하여 회계 레코드 생성
🛡️ 대응 방법
ERPNext를 최신 보안 패치가 적용된 버전(15.111.0 또는 16.22.0 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 15.111.0 또는 16.22.0보다 낮은지 확인하십시오.
pip show erpnext | grep Version