🇰🇷 한글 설명
Part-DB 2.13.2 미만 버전에서 인증된 사용자가 '외부 파일 다운로드' 기능을 통해 설정된 최대 첨부 파일 크기 제한을 우회할 수 있습니다. 서버 측에서 원격 파일을 직접 디스크로 스트리밍할 때 크기 제한을 검사하지 않아, 대용량 파일을 저장함으로써 디스크 공간을 고갈시키고 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 시스템에 설정된 파일 용량 제한을 무시하고 아주 큰 파일을 강제로 저장할 수 있는 문제입니다. 이로 인해 서버의 저장 공간이 가득 차서 서비스가 중단될 위험이 있습니다.
🇺🇸 원문 (English)
Part-DB is an open source inventory management system for electronic components. Prior to version 2.13.2, Part-DB allows authenticated users to bypass the configured maximum attachment file size when using the server-side “Download external file” attachment feature. When server-side attachment downloads are enabled, Part-DB downloads the remote file and streams it directly to disk without enforcing the configured MAX_ATTACHMENT_FILE_SIZE limit. As a result, an authenticated user who can create or edit attachments can cause Part-DB to store files larger than the configured maximum attachment size, potentially exhausting disk space and causing a denial of service. This issue has been patched in version 2.13.2.
📍 영향받는 시스템
Part-DB 2.13.2 미만 버전
⚔️ 공격 벡터
인증된 사용자가 서버 측 외부 파일 다운로드 기능을 사용하여 제한 용량을 초과하는 파일을 업로드
🛡️ 대응 방법
Part-DB를 최신 버전인 2.13.2 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.13.2보다 낮은지 확인하십시오.
python3 -c "import partdb; print(partdb.__version__)" 2>/dev/null || echo 'Check version via package manager or source'