🇰🇷 한글 설명
Frappe ERPNext 16.34.1 미만 버전에서 재무 보고서 템플릿의 calculation_formula 값이 화이트리스트에 등록되지 않은 메서드를 참조하는지 검증하지 않는 취약점이 발견되었습니다. 이를 통해 계정 관리자는 임의의 Python 경로를 입력하여 화이트리스트에 없는 내부 서버 측 메서드를 호출하고 그 결과값을 읽어올 수 있습니다.
💡 쉬운 설명
회계 관리자가 보고서 설정에 특수한 명령어를 입력하여, 원래 허용되지 않은 서버 내부의 비밀 기능들을 몰래 실행하고 그 결과를 훔쳐볼 수 있는 문제입니다. 시스템의 중요한 내부 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Frappe ERPNext versions before 16.34.1 fail to validate that Financial Report Template calculation_formula values reference whitelisted methods before passing them to frappe.call(). Accounts Managers can supply arbitrary dotted Python paths to invoke non-whitelisted internal server-side methods and read their return values.
📍 영향받는 시스템
Frappe ERPNext versions before 16.34.1
⚔️ 공격 벡터
계정 관리자 권한을 이용한 재무 보고서 템플릿 내 임의의 Python 메서드 경로 주입
🛡️ 대응 방법
Frappe ERPNext를 최신 버전인 16.34.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 16.34.1보다 낮은지 확인하십시오.
pip show frappe | grep Version