🇰🇷 한글 설명
github.com/go-viper/mapstructure/v2의 필드 처리 컴포넌트에서 mapstructure.WeakDecode 사용 시 발견된 결함으로, 보안이 중요한 컨텍스트에서 처리되는 잘못된 형식의 사용자 데이터로 인해 상세 에러 메시지를 통한 민감한 입력값의 정보 유출이 가능합니다.
💡 쉬운 설명
A data conversion library can accidentally show sensitive information in error messages when given bad input. Attackers can send malformed data to trigger these error messages and steal private information.
🇺🇸 원문 (English)
A flaw was found in github.com/go-viper/mapstructure/v2, in the field processing component using mapstructure.WeakDecode. This vulnerability allows information disclosure through detailed error messages that may leak sensitive input values via malformed user-supplied data processed in security-critical contexts.
📍 영향받는 시스템
github.com/go-viper/mapstructure/v2 (all versions before patch)
⚔️ 공격 벡터
Send malformed user data to trigger detailed error messages that leak sensitive input values
🛡️ 대응 방법
Update mapstructure/v2 to the latest patched version and validate error message output in security-critical contexts
🔧 검증 코드
If mapstructure appears in output, check the version number to confirm it's been updated to patched version.
go list -m all 2>/dev/null | grep mapstructure