🇰🇷 한글 설명
ERPNext의 get_tax_template 함수에서 요청 데이터인 posting_date 및 args 값이 SQL WHERE 절을 생성할 때 적절히 필터링되지 않는 취약점이 발견되었습니다. 이를 통해 인증된 저권한 사용자가 SQL 인젝션을 수행하여 민감한 정보를 추출할 수 있습니다.
💡 쉬운 설명
ERPNext 시스템에 로그인한 일반 사용자가 조작된 데이터를 입력하여 데이터베이스의 비밀 정보를 몰래 빼낼 수 있는 보안 결함입니다. 데이터베이스 명령어를 직접 실행할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.109.0 and 16.20.0, the get_tax_template function in erpnext/accounts/doctype/tax_rule/tax_rule.py constructs an SQL WHERE clause from request-influenced posting_date and args values, allowing an authenticated low-privilege user to inject SQL and extract sensitive information. This issue is fixed in versions 15.109.0 and 16.20.0.
📍 영향받는 시스템
ERPNext 15.109.0 및 16.20.0 미만 버전
⚔️ 공격 벡터
인증된 저권한 사용자가 조작된 posting_date 또는 args 값을 포함한 요청을 전송하여 SQL 인젝션 수행
🛡️ 대응 방법
ERPNext를 최신 보안 패치가 적용된 버전(15.109.0 또는 16.20.0 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 15.109.0 또는 16.20.0보다 낮은지 확인하여 취약 여부를 판단합니다.
pip show erpnext | grep Version