🇰🇷 한글 설명
SAP Commerce Cloud의 일부 OCC API 엔드포인트에서 비밀번호, 이메일 주소, 전화번호와 같은 개인정보(PII)가 URL의 쿼리 또는 경로 매개변수에 포함될 수 있는 취약점입니다. 이 취약점이 악용될 경우 애플리케이션의 기밀성과 무결성에 높은 영향을 미칠 수 있습니다.
💡 쉬운 설명
중요한 개인정보가 웹 주소(URL)에 그대로 노출되어 보안에 취약한 상태입니다. 해커가 웹 기록이나 로그를 통해 사용자의 비밀번호나 개인정보를 쉽게 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Some OCC API endpoints in SAP Commerce Cloud
allows Personally Identifiable Information (PII) data, such as passwords, email
addresses, mobile numbers, coupon codes, and voucher codes, to be included in
the request URL as query or path parameters. On successful exploitation, this
could lead to a High impact on confidentiality and integrity of the
application.
📍 영향받는 시스템
SAP Commerce Cloud (OCC API 사용 버전)
⚔️ 공격 벡터
URL에 포함된 민감한 정보를 로그 파일, 브라우저 기록 또는 네트워크 트래픽 모니터링을 통해 탈취
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고, 민감한 데이터를 URL 매개변수가 아닌 HTTP Body(POST 방식 등)에 담도록 API 설정을 수정해야 합니다.
🔧 검증 코드
URL에 민감한 파라미터를 포함하여 요청했을 때, 정보가 노출되지 않도록 적절한 오류 코드(404, 401, 403 등)가 반환되는지 확인합니다.
curl -s -I 'https://<target-domain>/occ/v2/<base-site>/<endpoint>?password=test' | grep -i '404\|401\|403'