🇰🇷 한글 설명
corydolphin/flask-cors 4.0.1 버전에서 부적절한 정규식 경로 매칭 취약점이 발견되었습니다. 이 플러그인은 경로 매칭 시 구체적인 패턴보다 긴 정규식 패턴을 우선시하여, 민감한 엔드포인트에 보안이 취약한 CORS 정책이 적용될 수 있습니다. 이로 인해 권한이 없는 교차 출처 접근이 허용되어 민감한 정보가 노출될 위험이 있습니다.
💡 쉬운 설명
웹사이트의 보안 규칙을 정하는 과정에서 규칙의 우선순위가 잘못 설정되어 발생한 문제입니다. 공격자가 보안이 약한 규칙을 이용해 원래는 접근할 수 없는 중요한 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
corydolphin/flask-cors version 4.0.1 contains an improper regex path matching vulnerability. The plugin prioritizes longer regex patterns over more specific ones when matching paths, which can lead to less restrictive CORS policies being applied to sensitive endpoints. This mismatch in regex pattern priority allows unauthorized cross-origin access to sensitive data or functionality, potentially exposing confidential information and increasing the risk of unauthorized actions by malicious actors.
📍 영향받는 시스템
corydolphin/flask-cors version 4.0.1
⚔️ 공격 벡터
정규식 우선순위 오류를 악용하여 보안이 느슨한 CORS 정책이 적용된 경로로 교차 출처 요청을 보냄
🛡️ 대응 방법
flask-cors 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하거나 정규식 경로 설정을 재검토함
🔧 검증 코드
출력된 버전이 4.0.1인지 확인하여 취약 여부를 판단함
pip show flask-cors | grep Version