🇰🇷 한글 설명
Node.js용 CSRF 보호 미들웨어인 tiny-csrf의 1.1.0 미만 버전에서 쿠키가 암호화되지 않는 취약점이 발견되었습니다. 이로 인해 CSRF 토큰이 평문으로 전송되어 보안 위협에 노출될 수 있습니다. 해당 문제는 커밋 8eead6d를 통해 수정되었으며 1.1.0 버전부터 적용됩니다.
💡 쉬운 설명
웹사이트를 보호하는 보안 도구에서 중요한 암호 키를 암호화하지 않고 그대로 노출하는 문제가 발생했습니다. 해커가 이 키를 훔쳐내어 사용자를 사칭한 가짜 요청을 보낼 위험이 있습니다.
🇺🇸 원문 (English)
tiny-csrf is a Node.js cross site request forgery (CSRF) protection middleware. In versions prior to 1.1.0 cookies were not encrypted and thus CSRF tokens were transmitted in the clear. This issue has been addressed in commit `8eead6d` and the patch with be included in version 1.1.0. Users are advised to upgrade. There are no known workarounds for this issue.
📍 영향받는 시스템
tiny-csrf versions prior to 1.1.0
⚔️ 공격 벡터
네트워크 스니핑 또는 쿠키 탈취를 통한 CSRF 토큰 평문 노출 및 가로채기
🛡️ 대응 방법
tiny-csrf 라이브러리를 1.1.0 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 정보가 1.1.0 미만인지 확인하십시오.