🇰🇷 한글 설명
elysia-cors 라이브러리 1.3.0 버전 이하에서 발생하는 Origin 검증 오류로 인해 CORS 제한을 우회할 수 있습니다. 라이브러리가 허용된 도메인과 입력된 Origin을 정확히 비교하지 않고 부분 일치 여부만 확인하기 때문에 발생합니다.
💡 쉬운 설명
허용된 사이트 주소의 일부만 포함되어 있으면 다른 사이트에서도 접근을 허용해버리는 보안 결함입니다. 이로 인해 공격자가 사용자의 데이터를 몰래 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
An Origin Validation Error in the elysia-cors library thru 1.3.0 allows attackers to bypass Cross-Origin Resource Sharing (CORS) restrictions. The library incorrectly validates the supplied origin by checking if it is a substring of any domain in the site's CORS policy, rather than performing an exact match. For example, a malicious origin like "notexample.com", "example.common.net" is whitelisted when the site's CORS policy specifies "example.com." This vulnerability enables unauthorized access to user data on sites using the elysia-cors library for CORS validation.
📍 영향받는 시스템
elysia-cors library version <= 1.3.0
⚔️ 공격 벡터
허용된 도메인의 문자열을 포함하는 악의적인 Origin을 사용하여 CORS 정책을 우회함
🛡️ 대응 방법
elysia-cors 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 elysia-cors의 버전이 1.3.0 이하인지 확인하십시오.