🇰🇷 한글 설명
Spyce(Python Server Pages) 2.1.3의 redirect.spy 파일에서 url 파라미터를 검증하지 않아 발생하는 오픈 리다이렉트 취약점입니다. 공격자가 악의적인 URL을 매개변수로 전달하여 사용자를 피싱 사이트로 유도할 수 있습니다. 사용자가 신뢰하는 도메인에서 나온 링크라고 믿고 클릭할 가능성이 높아 피싱 공격의 효과를 높입니다.
💡 쉬운 설명
웹사이트가 사용자를 다른 페이지로 보낼 때, 어디로 보낼지 확인하지 않고 그냥 보내버리는 문제입니다. 해커가 이를 이용해 사용자를 가짜 사이트로 유도할 수 있습니다.
🇺🇸 원문 (English)
Open redirect vulnerability in spyce/examples/redirect.spy in Spyce - Python Server Pages (PSP) 2.1.3 allows remote attackers to redirect users to arbitrary web sites and conduct phishing attacks via a URL in the url parameter.
📍 영향받는 시스템
Spyce (Python Server Pages) 버전 2.1.3 및 이전 버전
⚔️ 공격 벡터
http://vulnerable-site/redirect.spy?url=http://attacker-site.com 형태의 url 파라미터를 조작하여 임의 도메인으로 리다이렉트 유발
🛡️ 대응 방법
Spyce를 최신 버전으로 업그레이드하거나, redirect 함수에서 url 파라미터를 화이트리스트 검증으로 필터링하여 내부 도메인으로만 리다이렉트 허용
🔧 검증 코드
Spyce 설치 여부와 버전 확인: 2.1.3 이하면 취약, 결과 없으면 미설치 상태
python -c "import spyce; print(spyce.__version__)" 2>/dev/null || pip show spyce 2>/dev/null | grep Version