🇰🇷 한글 설명
aiohttp의 정적 파일 처리 인덱스 페이지에서 XSS(교차 사이트 스크립팅) 취약점이 발견되었습니다. 이 문제는 3.9.4 버전에서 수정되었으며, 정적 파일 서빙 시 리버스 프록시를 사용하지 않는 경우 영향을 받을 수 있습니다.
💡 쉬운 설명
웹사이트의 파일 목록을 보여주는 페이지에서 해커가 악성 코드를 실행할 수 있는 보안 약점이 발견되었습니다. 웹 서버 설정을 변경하거나 최신 버전으로 업데이트하여 해결할 수 있습니다.
🇺🇸 원문 (English)
aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. A XSS vulnerability exists on index pages for static file handling. This vulnerability is fixed in 3.9.4. We have always recommended using a reverse proxy server (e.g. nginx) for serving static files. Users following the recommendation are unaffected. Other users can disable `show_index` if unable to upgrade.
📍 영향받는 시스템
aiohttp 3.9.4 미만 버전 (정적 파일 인덱스 기능 활성화 시)
⚔️ 공격 벡터
조작된 파일 이름을 통해 인덱스 페이지에 악성 스크립트를 삽입하여 사용자 브라우저에서 실행
🛡️ 대응 방법
aiohttp를 3.9.4 이상으로 업그레이드하거나, `show_index` 설정을 비활성화하고 Nginx와 같은 리버스 프록시 사용 권장
🔧 검증 코드
출력된 버전이 3.9.4 미만이면 해당 취약점에 노출될 가능성이 있습니다.
pip show aiohttp | grep Version