🇰🇷 한글 설명
WEBCON BPS의 /api/vacations/{path} 엔드포인트에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 공격자가 selectedPeople 파라미터에 임의의 사용자 로그인을 입력하여 권한 없이 다른 직원의 휴가 일정을 조회할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 시스템의 허점을 이용해 다른 사람의 개인적인 휴가 정보를 몰래 훔쳐볼 수 있는 문제입니다. 관리자나 다른 부서 직원의 일정까지 모두 확인할 수 있어 정보 유출 위험이 있습니다.
🇺🇸 원문 (English)
WEBCON BPS is vulnerable to Insecure Direct Object Reference (IDOR) in the /api/vacations/{path} endpoint. The selectedPeople parameter in the Gantt vacation chart API does not validate whether the requesting user is authorized to access the requested users' data. An authenticated attacker can supply arbitrary user logins in the selectedPeople parameter to view vacation schedules of other employees, including managers and staff from other offices, regardless of business logic access restrictions, resulting in unauthorized disclosure of sensitive scheduling information.This vulnerability was fixed in versions: 2025.2.1.177 and 2026.1.1.20
📍 영향받는 시스템
WEBCON BPS (2025.2.1.177 및 2026.1.1.20 미만 버전)
⚔️ 공격 벡터
인증된 사용자가 API 요청 시 selectedPeople 파라미터에 타인의 사용자 ID를 삽입하여 전송
🛡️ 대응 방법
WEBCON BPS를 수정 버전인 2025.2.1.177 또는 2026.1.1.20 이상으로 업데이트
🔧 검증 코드
타인 계정의 데이터가 정상적으로 응답에 포함되면 취약한 상태이며, 접근 거부 오류가 발생하면 안전한 상태입니다.
curl -s -X GET 'https://<target>/api/vacations/path?selectedPeople=target_user' | grep -q 'vacation_data' && echo 'Vulnerable' || echo 'Not Vulnerable'