🇰🇷 한글 설명
Koa.js 프레임워크의 특정 버전에서 백(back) 리다이렉트 기능에 대한 보안 우회 취약점이 발견되었습니다. 공격자가 Referer 헤더를 조작하여 사용자의 브라우저를 외부의 악성 웹사이트로 강제 이동시킬 수 있습니다. 이 취약점은 피싱이나 사회 공학적 공격에 악용될 수 있습니다.
💡 쉬운 설명
웹사이트의 '뒤로 가기' 기능이 조작되어 사용자가 원치 않는 가짜 사이트로 연결될 수 있는 문제입니다. 해커가 만든 특수한 주소를 통해 사용자를 낚시 사이트로 유인할 수 있습니다.
🇺🇸 원문 (English)
Koa is expressive middleware for Node.js using ES2017 async functions. In versions 2.16.2 to before 2.16.3 and 3.0.1 to before 3.0.3, a bypass to CVE-2025-8129 was discovered in the Koa.js framework affecting its back redirect functionality. In certain circumstances, an attacker can manipulate the Referer header to force a user’s browser to navigate to an external, potentially malicious website. This occurs because the implementation incorrectly treats some specially crafted URLs as safe relative paths. Exploiting this vulnerability could allow attackers to perform phishing, social engineering, or other redirect-based attacks on users of affected applications. This issue has been patched in version 3.0.3.
📍 영향받는 시스템
Koa.js versions 2.16.2 to < 2.16.3 and 3.0.1 to < 3.0.3
⚔️ 공격 벡터
조작된 Referer 헤더를 이용한 오픈 리다이렉트(Open Redirect) 공격
🛡️ 대응 방법
Koa.js를 최신 패치 버전인 3.0.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 koa의 버전이 2.16.3 미만 또는 3.0.3 미만인지 확인하십시오.