🇰🇷 한글 설명
KHC-INVITATION-AUTOMATION 스크립트의 버전 1.2에서 API 응답을 통해 이메일 주소와 Discord 사용자명이 접근 제어 없이 노출되는 취약점이 발견되었습니다. 권한이 없는 사용자가 특정 엔드포인트를 직접 호출하여 민감한 사용자 정보에 접근할 수 있었습니다. 최신 커밋에서 패치되었습니다.
💡 쉬운 설명
깃허브 자동화 도구가 사용자의 이메일과 디스코드 계정명을 암호 없이 공개했습니다. 누구나 이 정보에 접근할 수 있었지만 현재는 수정되었습니다.
🇺🇸 원문 (English)
KHC-INVITATION-AUTOMATION is a GitHub automation script that automatically invites followers of a bot account to join your organization. In some commits on version 1.2, a vulnerability was identified where user data, including email addresses and Discord usernames, were exposed in API responses without proper access controls. This allowed unauthorized users to access sensitive user information by directly calling specific endpoints. This issue has been patched in a later commit on version 1.2.
📍 영향받는 시스템
KHC-INVITATION-AUTOMATION v1.2 (특정 커밋들)
⚔️ 공격 벡터
API 엔드포인트 직접 호출을 통한 미승인 사용자 데이터 접근
🛡️ 대응 방법
최신 패치가 적용된 v1.2 커밋으로 업데이트
🔧 검증 코드
패치 커밋이 반영되었는지 확인; 패치 커밋이 보이면 취약점이 해결된 상태
cd khc-invitation-automation && git log --oneline --all | grep -i 'patch\|fix\|security' | head -1