🇰🇷 한글 설명
Spotipy 라이브러리의 OAuth 콜백 서버에서 오류 매개변수가 제대로 검증되지 않아 JavaScript 코드 주입이 가능한 XSS 취약점입니다. 공격자는 OAuth 인증 과정에서 사용자의 브라우저에서 임의의 JavaScript를 실행할 수 있으며, 버전 2.25.2에서 패치되었습니다.
💡 쉬운 설명
Spotipy 라이브러리의 로그인 과정에서 악의적인 JavaScript 코드가 주입될 수 있습니다. 공격자가 당신의 개인 정보를 훔치거나 Spotify 계정을 무단으로 조작할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Spotipy is a Python library for the Spotify Web API. Prior to version 2.25.2, there is a cross-site scripting (XSS) vulnerability in the OAuth callback server that allows for JavaScript injection through the unsanitized error parameter. Attackers can execute arbitrary JavaScript in the user's browser during OAuth authentication. This issue has been patched in version 2.25.2.
📍 영향받는 시스템
Spotipy 버전 2.25.2 미만 (Spotipy < 2.25.2)
⚔️ 공격 벡터
OAuth 콜백 URL의 error 파라미터에 JavaScript 페이로드를 주입하여 사용자 브라우저에서 실행
🛡️ 대응 방법
pip install --upgrade spotipy로 버전 2.25.2 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 2.25.2 이상이면 안전하고, 미만이면 업그레이드 필요합니다.
pip show spotipy 2>/dev/null | grep Version | awk '{print $2}'