🇰🇷 한글 설명
Tabit 시스템에서 과도한 데이터 노출 취약점이 발견되었습니다. 예약 취소 엔드포인트가 MongoDB ID와 조직 ID를 포함하고 있어, 이를 통해 사용자의 이름, 이메일, 전화번호, 방문 횟수 및 결제 내역 등 민감한 개인정보를 조회할 수 있습니다.
💡 쉬운 설명
예약 취소 링크를 통해 사용자의 이름, 연락처, 결제 금액 같은 개인정보가 너무 많이 노출되는 문제입니다. 해커가 이 정보를 이용해 사용자를 속이는 피싱 공격을 시도할 수 있습니다.
🇺🇸 원문 (English)
Tabit - Excessive data exposure. Another endpoint mapped by the tiny url, was one for reservation cancellation, containing the MongoDB ID of the reservation, and organization. This can be used to query the http://tgm-api.tabit.cloud/rsv/management/{reservationId}?organization={orgId} API which returns a lot of data regarding the reservation (OWASP: API3): Name, mail, phone number, the number of visits of the user to this specific restaurant, the money he spent there, the money he spent on alcohol, whether he left a deposit etc. This information can easily be used for a phishing attack.
📍 영향받는 시스템
Tabit API (tgm-api.tabit.cloud) 관련 엔드포인트
⚔️ 공격 벡터
예약 ID와 조직 ID를 이용한 API 쿼리 조작을 통한 데이터 탈취
🛡️ 대응 방법
API 응답에서 불필요한 민감 정보를 제거하고, 요청 권한에 대한 엄격한 인증 및 인가 로직을 적용해야 합니다.
🔧 검증 코드
API 호출 시 권한 없는 사용자가 민감한 데이터가 포함된 JSON 응답을 받는지 확인합니다.
curl -s -I 'http://tgm-api.tabit.cloud/rsv/management/{reservationId}?organization={orgId}'