🇰🇷 한글 설명
Python Social Auth 라이브러리 5.6.0 이전 버전에서 associate_by_email 파이프라인이 비활성화되었음에도 불구하고 사용자가 이메일 주소로 인증되는 취약점입니다. 제3자 인증 서비스가 이메일 주소를 검증하지 않으면 공격자가 임의의 이메일로 다른 사용자 계정에 접근할 수 있습니다.
💡 쉬운 설명
소셜 로그인 시 이메일 주소 검증 절차가 제대로 작동하지 않아서, 공격자가 다른 사람의 이메일로 그 계정에 로그인할 수 있습니다. 이를 통해 계정 탈취가 가능합니다.
🇺🇸 원문 (English)
Python Social Auth is a social authentication/registration mechanism. In versions prior to 5.6.0, upon authentication, the user could be associated by e-mail even if the `associate_by_email` pipeline was not included. This could lead to account compromise when a third-party authentication service does not validate provided e-mail addresses or doesn't require unique e-mail addresses. Version 5.6.0 contains a patch. As a workaround, review the authentication service policy on e-mail addresses; many will not allow exploiting this vulnerability.
📍 영향받는 시스템
Python Social Auth < 5.6.0
⚔️ 공격 벡터
제3자 인증 서비스(소셜 로그인)를 통해 검증되지 않은 이메일 주소로 임의의 사용자 계정에 접근
🛡️ 대응 방법
Python Social Auth를 5.6.0 이상으로 업그레이드하거나 인증 서비스의 이메일 검증 정책 검토
🔧 검증 코드
Version이 5.6.0 이상이면 패치됨, 미만이면 취약함
pip show python-social-auth 2>/dev/null | grep Version