🇰🇷 한글 설명
임시 브라우저 클라이언트에 저장된 API 키가 보호 대상으로 설정되지 않아, 자바스크립트 콘솔이나 기타 오류를 통해 암호화 자격 증명을 추출할 수 있는 취약점입니다. 이로 인해 저장된 민감한 API 키가 노출될 위험이 있습니다.
💡 쉬운 설명
웹 브라우저에 임시로 저장된 중요한 비밀번호가 제대로 잠겨 있지 않은 상태입니다. 해커가 브라우저의 개발자 도구 등을 이용해 이 비밀번호를 쉽게 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
The stored API keys in temporary browser client is not marked as protected allowing for JavScript console or other errors to allow for extraction of the encryption credentials.
📍 영향받는 시스템
API 키를 브라우저 클라이언트에 임시 저장하는 모든 웹 애플리케이션
⚔️ 공격 벡터
자바스크립트 콘솔 조작 또는 브라우저 오류 메시지를 통한 암호화 정보 추출
🛡️ 대응 방법
브라우저에 저장되는 민감 정보에 보호 속성을 적용하고, 암호화 자격 증명이 노출되지 않도록 보안 설정을 강화해야 합니다.
🔧 검증 코드
명령어 실행 결과에서 API 키 관련 정보나 암호화 자격 증명이 평문으로 노출되는지 확인합니다.
curl -s -X GET 'https://target-app.com/api/status' | grep -i 'api_key_exposed'