🇰🇷 한글 설명
AI 소셜 미디어 스케줄링 도구인 Postiz의 특정 버전에서 웹훅 생성 시 URL 유효성 검사 미흡으로 인해 발생하는 SSRF 취약점입니다. 공격자가 내부 또는 사설 네트워크 주소를 웹훅 URL로 등록하면, 시스템이 게시물을 발행할 때 해당 내부 서비스로 요청을 보내도록 유도할 수 있습니다.
💡 쉬운 설명
해커가 가짜 주소를 등록하여 서비스가 내부 네트워크의 비밀스러운 정보에 접근하도록 만드는 공격입니다. 이로 인해 외부에서 볼 수 없는 내부 시스템이 공격 대상이 될 수 있습니다.
🇺🇸 원문 (English)
Postiz is an AI social media scheduling tool. Prior to version 2.21.4, the POST /webhooks/ endpoint for creating webhooks uses WebhooksDto which validates the url field with only @IsUrl() (format check), missing the @IsSafeWebhookUrl validator that blocks internal/private network addresses. The update (PUT /webhooks/) and test (POST /webhooks/send) endpoints correctly apply @IsSafeWebhookUrl. When a post is published, the orchestrator fetches the stored webhook URL without runtime validation, enabling blind SSRF against internal services. This issue has been patched in version 2.21.4.
📍 영향받는 시스템
Postiz version < 2.21.4
⚔️ 공격 벡터
웹훅 생성 엔드포인트(/webhooks/)에 내부 네트워크 주소를 입력하여 Blind SSRF 유도
🛡️ 대응 방법
Postiz를 최신 버전인 2.21.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.21.4 미만인 경우 해당 취약점에 노출된 상태입니다.
npm list postiz | grep -E 'postiz@2\.[0-1][0-9]\.'