🇰🇷 한글 설명
axios에서 프로토콜 상대 경로 대신 절대 URL을 전달할 때 발생하는 보안 취약점입니다. baseURL이 설정되어 있더라도 axios가 지정된 절대 URL로 요청을 전송하여 SSRF 및 자격 증명 유출을 초래할 수 있습니다.
💡 쉬운 설명
웹사이트가 데이터를 요청할 때 설정된 기본 주소를 무시하고 엉뚱한 주소로 접속하게 만드는 문제입니다. 이 과정에서 중요한 로그인 정보가 외부로 유출되거나 내부 네트워크가 공격받을 수 있습니다.
🇺🇸 원문 (English)
axios is a promise based HTTP client for the browser and node.js. The issue occurs when passing absolute URLs rather than protocol-relative URLs to axios. Even if baseURL is set, axios sends the request to the specified absolute URL, potentially causing SSRF and credential leakage. This issue impacts both server-side and client-side usage of axios. This issue is fixed in 1.8.2.
📍 영향받는 시스템
axios 1.8.2 미만 버전 (서버 및 클라이언트 환경 모두 포함)
⚔️ 공격 벡터
사용자 입력값이 포함된 절대 URL을 axios 요청에 전달하여 의도하지 않은 서버로 요청을 유도함
🛡️ 대응 방법
axios 라이브러리를 최신 버전인 1.8.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 axios의 버전을 확인하여 1.8.2 미만인지 체크합니다.
npm list axios | grep axios