🇰🇷 한글 설명
JeecgBoot 3.9.5 이하 버전에서 인증된 사용자가 임의의 userId를 사용하여 타인의 AI 비디오 생성 기록을 삭제할 수 있는 부적절한 직접 객체 참조(IDOR) 취약점이 존재합니다. 공격자는 GET 엔드포인트를 통해 기록 ID를 탈취한 후, DELETE 요청을 통해 피해자의 Redis에 저장된 비디오 히스토리를 삭제할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 아이디를 입력하여 그 사람의 AI 비디오 생성 기록을 마음대로 지울 수 있는 보안 결함입니다. 공격자는 다른 사용자의 기록 ID를 알아낸 뒤 삭제 명령을 보내 피해자의 데이터를 삭제할 수 있습니다.
🇺🇸 원문 (English)
JeecgBoot through 3.9.5 contains an insecure direct object reference vulnerability that allows authenticated users to delete other users' AI video generation records by supplying arbitrary userId values to DELETE /airag/video/deleteVideoRecord. Attackers can obtain record ids from the unchecked GET /airag/video/listByUser endpoint and delete victims' Redis-stored video history entries one record per request.
📍 영향받는 시스템
JeecgBoot 3.9.5 이하 버전
⚔️ 공격 벡터
인증된 사용자가 DELETE /airag/video/deleteVideoRecord API에 임의의 userId를 전달하여 공격
🛡️ 대응 방법
사용자 요청 시 해당 데이터의 소유권을 검증하는 로직을 추가하고, API 접근 권한 제어를 강화해야 합니다.
🔧 검증 코드
명령어 실행 결과로 타인의 userId나 비디오 기록 정보가 노출된다면 취약할 가능성이 높습니다.
curl -s -X GET http://<target>/airag/video/listByUser | grep -E 'userId'