🇰🇷 한글 설명
RuoYi-Vue-Plus 6.0.0 이하 버전에서 인증된 사용자가 타인의 socialId를 이용해 다른 사용자의 소셜 로그인 연동 정보를 삭제할 수 있는 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 공격자는 DELETE /auth/unlock/{socialId} 요청을 통해 피해자의 GitHub, WeChat, Gitee 연동 및 OAuth 토큰을 제거하여 소셜 로그인을 차단할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 다른 사람의 아이디를 입력하여 그 사람의 소셜 계정 연결을 강제로 끊어버릴 수 있는 문제입니다. 이로 인해 피해자는 기존에 사용하던 소셜 로그인 방식을 더 이상 사용할 수 없게 됩니다.
🇺🇸 원문 (English)
RuoYi-Vue-Plus through 6.0.0 contains an insecure direct object reference vulnerability that allows authenticated users to delete other users' social login bindings by supplying their socialId. Attackers can send DELETE /auth/unlock/{socialId} requests with a victim's binding id to remove their GitHub, WeChat, or Gitee binding and stored OAuth tokens, blocking social login.
📍 영향받는 시스템
RuoYi-Vue-Plus 6.0.0 이하 버전
⚔️ 공격 벡터
인증된 사용자가 피해자의 socialId를 포함한 DELETE /auth/unlock/{socialId} HTTP 요청을 전송
🛡️ 대응 방법
해당 API 엔드포인트에 요청자가 소유한 데이터인지 확인하는 권한 검증 로직을 추가하고 최신 보안 패치를 적용하십시오.
🔧 검증 코드
API 문서나 엔드포인트 목록에서 /auth/unlock/ 경로가 노출되는지 확인하여 취약한 API 존재 여부를 파악합니다.
curl -s http://<target-ip>/swagger-ui/index.html | grep -i 'auth/unlock'