🇰🇷 한글 설명
DataEase 2.10.26 미만 버전에서 지리 정보, 대시보드 연결 및 차트 상세 REST 엔드포인트에 대한 객체 수준 권한 검사가 누락되었습니다. 이를 통해 인증된 사용자가 임의의 식별자를 사용하여 다른 사용자의 리소스를 덮어쓰거나 삭제하고, 대시보드 연결을 수정하거나 차트 메타데이터를 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 사람의 지도 데이터나 차트 정보를 마음대로 수정하거나 훔쳐볼 수 있는 보안 결함입니다. 공격자가 데이터의 ID 값만 바꾸면 남의 데이터를 지우거나 내용을 바꿀 수 있어 위험합니다.
🇺🇸 원문 (English)
DataEase versions before 2.10.26 omit object-level authorization checks on geographic information, dashboard linkage, and chart detail REST endpoints, allowing authenticated users to access resources belonging to other users. Attackers can overwrite or delete map geometry, modify dashboard linkages, and retrieve chart metadata and configuration for resources they do not own by supplying arbitrary identifiers in requests.
📍 영향받는 시스템
DataEase versions before 2.10.26
⚔️ 공격 벡터
인증된 사용자가 REST API 요청 시 임의의 리소스 식별자(ID)를 전달하여 권한 검사를 우회함
🛡️ 대응 방법
DataEase를 최신 보안 패치가 적용된 2.10.26 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 2.10.26 이상의 버전 번호가 포함되어 있으면 안전하며, 그 미만이면 취약한 상태입니다.
curl -s http://<target-ip>/api/version | grep -E '2.10.26'