🇰🇷 한글 설명
Pyrofork 프레임워크의 download_media 메서드에서 텔레그램 메시지로 수신된 파일 이름을 적절히 검증하지 않아 발생하는 취약점입니다. 공격자가 조작된 파일 이름을 전송할 경우 파일 경로 구성 시 문제가 발생할 수 있습니다. 이 문제는 버전 2.3.69에서 수정되었습니다.
💡 쉬운 설명
텔레그램 메시지를 통해 전달된 파일 이름에 악의적인 문자가 포함되어 있어, 파일을 다운로드할 때 컴퓨터의 엉뚱한 위치에 파일이 저장될 수 있는 문제입니다. 파일 이름을 직접 지정하지 않고 기본 설정을 사용할 때 발생합니다.
🇺🇸 원문 (English)
Pyrofork is a modern, asynchronous MTProto API framework. Versions 2.3.68 and earlier do not properly sanitize filenames received from Telegram messages in the download_media method before using them in file path construction. When downloading media, if the user does not specify a custom filename (which is the common/default usage), the method falls back to using the file_name attribute from the media object. The attribute originates from Telegram's DocumentAttributeFilename and is controlled by the message sender. This issue is fixed in version 2.3.69.
📍 영향받는 시스템
Pyrofork 2.3.68 및 이전 버전
⚔️ 공격 벡터
공격자가 조작된 파일 이름을 가진 텔레그램 메시지를 전송하여 파일 경로 조작 유도
🛡️ 대응 방법
Pyrofork를 버전 2.3.69 이상으로 업데이트
🔧 검증 코드
출력된 버전이 2.3.69 미만이면 취약한 상태입니다.
pip show pyrofork | grep Version