🇰🇷 한글 설명
Python용 PDF 생성 라이브러리인 fpdf2 2.8.8 미만 버전에서 발생하는 취약점입니다. 공격자가 제어하는 HTTP(S) URL이나 로컬 경로가 이미지 로더를 통해 자동으로 참조되어, 내부 서비스로의 요청이나 로컬 파일 접근을 유발할 수 있습니다.
💡 쉬운 설명
PDF를 만드는 프로그램이 나쁜 링크나 내 컴퓨터의 파일을 몰래 읽으려고 시도할 수 있는 문제입니다. 공격자가 만든 링크를 포함한 PDF를 만들면 개인 정보나 내부 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
fpdf2 is a PDF creation library for Python. Prior to 2.8.8, fpdf2's shared image loader automatically dereferences attacker-controlled HTTP(S) URLs and raw local paths supplied through FPDF.image(), FPDF.write_html() HTML <img src> values, SVG <image href> or xlink:href values, and template image fields. This can cause outbound requests to attacker-selected internal or external services and local file open attempts, although local content is exposed only when it is a valid supported image or SVG resource. file:// URLs are not specially handled, so the local-path case requires a raw filesystem path. This issue is fixed in version 2.8.8.
📍 영향받는 시스템
fpdf2 version < 2.8.8
⚔️ 공격 벡터
FPDF.image(), write_html() 등의 함수에 공격자가 조작한 URL 또는 로컬 경로를 입력하여 발생
🛡️ 대응 방법
fpdf2 라이브러리를 최신 버전인 2.8.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.8.8보다 낮으면 취약한 상태입니다.
pip show fpdf2 | grep Version