🇰🇷 한글 설명
ERPNext의 특정 함수들에서 쓰기 권한 확인 절차가 누락되어 발생하는 보안 취약점입니다. 인증된 제한된 권한을 가진 사용자가 자신의 역할을 벗어나 보호된 데이터를 수정할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템의 중요한 정보를 마음대로 고칠 수 있는 결함이 발견되었습니다. 이를 통해 허가되지 않은 데이터 수정이 가능해질 수 있습니다.
🇺🇸 원문 (English)
ERPNext is a free and open source Enterprise Resource Planning tool. Prior to 15.112.0 and 16.22.0, the merge_account, pause_job_for_doc, trigger_job_for_doc, change_release_date, and update_cost_center functions across erpnext/accounts/doctype/account/account.py, erpnext/accounts/doctype/process_payment_reconciliation/process_payment_reconciliation.py, erpnext/accounts/doctype/purchase_invoice/purchase_invoice.py, and erpnext/accounts/utils.py omit required write permission checks, allowing authenticated limited users to modify protected data beyond their roles. This issue is fixed in versions 15.112.0 and 16.22.0.
📍 영향받는 시스템
ERPNext 버전 15.112.0 및 16.22.0 미만
⚔️ 공격 벡터
인증된 낮은 권한의 사용자가 취약한 함수를 호출하여 권한 밖의 데이터를 수정
🛡️ 대응 방법
ERPNext를 버전 15.112.0 또는 16.22.0 이상으로 업데이트
🔧 검증 코드
출력된 erpnext 버전이 15.112.0 또는 16.22.0보다 낮은지 확인
bench version | grep -E 'erpnext'