🇰🇷 한글 설명
ERPNext의 ReceivablePayableReport 내 prepare_conditions 경로에서 고객 및 공급업체 사용자 권한이 Payment Ledger Entry의 dynamic-link party 필드에 제대로 적용되지 않는 취약점입니다. 이로 인해 인증된 사용자가 권한이 없는 타 회사의 미수금 및 미지급금 재무 데이터를 읽을 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 자신이 볼 권한이 없는 다른 회사의 돈 관계 정보를 몰래 볼 수 있는 보안 결함입니다. 보고서 생성 과정에서 사용자 권한을 확인하는 절차가 누락되어 발생합니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.112.0 and 16.23.0, the ReceivablePayableReport prepare_conditions path in erpnext/accounts/report/accounts_receivable/accounts_receivable.py does not apply Customer and Supplier user permissions to the Payment Ledger Entry dynamic-link party field, allowing any authenticated user to read unauthorized cross-company financial data in Accounts Receivable and Accounts Payable reports. This issue is fixed in versions 15.112.0 and 16.23.0.
📍 영향받는 시스템
ERPNext 15.112.0 및 16.23.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 권한이 없는 재무 보고서 경로에 접근하여 데이터를 조회
🛡️ 대응 방법
ERPNext를 15.112.0 또는 16.23.0 이상의 버전으로 업데이트
🔧 검증 코드
출력된 버전이 15.112.0 또는 16.23.0보다 낮은지 확인
pip show erpnext | grep Version