🇰🇷 한글 설명
tlocke pg8000 1.31.4에서 pg8000.native.literal 함수의 SQL injection 취약점으로, 공격자가 특별히 조작된 Python 리스트 입력을 통해 임의의 SQL 명령어를 실행할 수 있습니다. 이로 인해 데이터베이스의 기밀 정보 탈취, 수정, 삭제 등 완전한 손상이 가능합니다.
💡 쉬운 설명
pg8000 라이브러리가 사용자 입력을 제대로 검증하지 않아서, 공격자가 악의적인 데이터를 보내면 데이터베이스를 마음대로 조작할 수 있습니다. 금융거래, 개인정보, 시스템 설정 등 모든 데이터가 위험에 빠질 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in tlocke pg8000 1.31.4 allows remote attackers to execute arbitrary SQL commands via a specially crafted Python list input to function pg8000.native.literal.
📍 영향받는 시스템
tlocke pg8000 버전 1.31.4 및 그 이전 버전
⚔️ 공격 벡터
PostgreSQL 연결 시 pg8000.native.literal() 함수에 조작된 Python 리스트를 입력하여 쿼리문에 임의의 SQL 명령어 주입
🛡️ 대응 방법
pg8000을 1.31.5 이상의 패치 버전으로 긴급 업데이트하고, 사용자 입력값에 대한 입력검증 및 파라미터화된 쿼리 사용
🔧 검증 코드
Version: 1.31.4 이하로 표시되면 취약 상태입니다. 1.31.5 이상으로 즉시 업데이트 필요합니다.
pip show pg8000 | grep Version