🇰🇷 한글 설명
foreUP 고객 REST API의 취약점으로 인해 인증된 권한이 낮은 고객이 다른 사용자의 레코드를 반환하는 엔드포인트에 접근할 수 있습니다. 이는 호출자가 해당 데이터의 소유자인지 확인하는 검증 과정이 누락되어 발생합니다.
💡 쉬운 설명
로그인한 일반 사용자가 권한을 넘어 다른 사람의 개인 정보를 몰래 볼 수 있는 보안 결함입니다. 시스템이 '이 데이터를 볼 권한이 있는지' 제대로 확인하지 않아서 발생합니다.
🇺🇸 원문 (English)
A vulnerability in the foreUP customer REST API allows any authenticated, low-privilege customer to access an endpoint that
returns the records of other users without checking that the caller owns the data associated with that record.
📍 영향받는 시스템
foreUP REST API (인증된 모든 저권한 사용자)
⚔️ 공격 벡터
인증된 저권한 계정을 이용한 API 엔드포인트 직접 호출 및 데이터 탈취
🛡️ 대응 방법
API 엔드포인트에 데이터 소유권 확인 로직(IDOR 방지)을 추가하고 접근 제어를 강화해야 합니다.
🔧 검증 코드
저권한 토큰으로 타인의 ID를 조회했을 때 데이터가 정상적으로 반환되면 취약한 상태입니다.
curl -s -X GET 'https://api.foreup.com/v1/records/[TARGET_ID]' -H 'Authorization: Bearer [LOW_PRIV_TOKEN]' | grep -q 'record_data'