🇰🇷 한글 설명
Axios 1.17.0부터 1.20.0 버전 사이의 fetch 어댑터에서 maxRedirects: 0 설정이 무시되는 취약점이 발견되었습니다. 이로 인해 리다이렉트가 금지된 상태에서도 fetch 구현체가 자동으로 리다이렉트를 수행하여 내부 엔드포인트에 접근할 수 있습니다. 해당 문제는 1.20.0 버전에서 수정되었습니다.
💡 쉬운 설명
웹 요청 시 '자동으로 다음 페이지로 넘어가지 마라'고 명령해도, 특정 조건에서 프로그램이 멋대로 다음 페이지로 넘어가 버리는 문제입니다. 이 과정에서 원래는 접근하면 안 되는 내부 시스템 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Axios is a promise-based HTTP client for the browser and Node.js. From 1.17.0 until 1.20.0, the fetch adapter bypasses the maxRedirects: 0 redirect policy. An Axios request uses the fetch adapter with maxRedirects set to zero and receives a redirect response. The underlying fetch implementation follows the redirect instead of returning the redirect response unchanged. The redirected request can access internal responses or reach state-changing internal endpoints despite redirects being disabled. This issue is fixed in version 1.20.0.
📍 영향받는 시스템
Axios versions 1.17.0 to 1.20.0 (using fetch adapter)
⚔️ 공격 벡터
리다이렉트 설정을 무시하고 내부 네트워크나 상태 변경 엔드포인트로 요청을 유도하는 방식
🛡️ 대응 방법
Axios 버전을 1.20.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 axios의 버전이 1.17.0 이상 1.20.0 미만인지 확인하십시오.
npm list axios | grep axios