🇰🇷 한글 설명
Penpot 오픈소스 디자인 플랫폼의 2.18.0 미만 버전에서 로그아웃 시 브라우저의 인증 토큰 쿠키만 삭제되고 서버 측 세션은 취소되지 않는 취약점이 발견되었습니다. 이로 인해 이전에 탈취된 세션 토큰이 로그아웃 후에도 만료 전까지 유효하여 공격자가 피해자의 권한으로 인증된 요청을 계속 보낼 수 있습니다.
💡 쉬운 설명
로그아웃을 해도 서버에서는 여전히 사용자가 로그인된 상태로 인식되는 문제입니다. 해커가 미리 훔쳐간 로그인 정보가 있다면, 사용자가 로그아웃을 해도 해커는 계속 계정에 접속할 수 있습니다.
🇺🇸 원문 (English)
Penpot is an open-source design and prototyping platform. Prior to 2.18.0, logout clears the browser's auth-token cookie without revoking the corresponding server-side session. A previously captured session token remains usable after the victim logs out and can continue to make authenticated requests with the victim's authority until natural expiration. This issue is fixed in version 2.18.0.
📍 영향받는 시스템
Penpot versions prior to 2.18.0
⚔️ 공격 벡터
이전에 탈취된 세션 토큰을 사용하여 로그아웃된 사용자의 계정으로 인증된 요청 수행
🛡️ 대응 방법
Penpot를 2.18.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 2.18.0 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://<penpot-host>/api/health | grep -oE 'version: [0-9.]+' || echo 'Check version via package manager or logs'