🇰🇷 한글 설명
Wheels 4.0.0부터 4.1.2 버전에서 개발용 도구가 비밀번호 없이 원격 클라이언트에 노출되는 취약점이 발견되었습니다. 공격자는 이를 통해 애플리케이션 설정, 환경 정보, 데이터소스 상세 정보를 탈취하거나 테스트 실행을 시작할 수 있으며, 이 과정에서 실제 데이터베이스에 데이터가 기록될 위험이 있습니다.
💡 쉬운 설명
개발용 도구가 암호 없이 인터넷에 공개되어 있어, 누구나 시스템 내부 정보를 훔쳐보거나 데이터베이스를 조작할 수 있는 상태입니다. 마치 집 현관문이 잠기지 않은 채로 열려 있어 외부인이 들어와 물건을 만지거나 기록을 바꿀 수 있는 것과 같습니다.
🇺🇸 원문 (English)
Wheels 4.0.0 through 4.1.2 exposes password-less development tools under /wheels/* to remote clients when enablePublicComponent=true, as it is by default in development. Before 4.1.2 these tools have no local-access restriction; in 4.1.2 the restriction trusts client-supplied headers without checking the connecting peer. Remote clients can obtain application settings, environment/datasource details and routes, and start test runs. Where application tests use the primary datasource, those runs can write to the real application database. The separately protected migrator and CLI endpoints are not affected. This is fixed in 4.2.0.
📍 영향받는 시스템
Wheels 4.0.0 ~ 4.1.2
⚔️ 공격 벡터
원격 클라이언트가 인증 없이 /wheels/* 경로에 접근하여 설정 정보 탈취 및 테스트 실행
🛡️ 대응 방법
Wheels 버전을 4.2.0 이상으로 업데이트
🔧 검증 코드
출력된 버전이 4.2.0 미만(4.0.0~4.1.2)인 경우 취약한 상태입니다.
pip show wheels | grep Version