🇰🇷 한글 설명
@haxtheweb/open-apis 라이브러리의 호스트명 검증 로직에서 부분 문자열 매칭을 사용하여 보안 취약점이 발생합니다. 공격자는 인증 정보가 필요한 도메인과 부분적으로 일치하는 호스트를 조작하여 자격 증명을 탈취할 수 있습니다. 이 문제는 버전 26.0.0에서 수정되었습니다.
💡 쉬운 설명
웹사이트의 주소가 맞는지 확인하는 기능이 제대로 작동하지 않아, 사기성 사이트에서도 로그인 정보를 입력하게 만들 수 있습니다. 공격자가 가짜 주소를 만들어 사용자의 아이디와 비밀번호를 훔칠 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
HAX CMS helps manage microsite universe with PHP or NodeJs backends. Starting in version 9.0.1 and prior to version 26.0.0 of @haxtheweb/open-apis, multiple functions conduct substring-only matching to validate hostnames to which basic authorization should be sent. An attacker can append the matched substrings to an attacker-controlled endpoint and capture authentication. Version 26.0.0 fixes the issue.
📍 영향받는 시스템
@haxtheweb/open-apis version >= 9.0.1 and < 26.0.0
⚔️ 공격 벡터
공격자가 제어하는 엔드포인트에 일치하는 부분 문자열을 추가하여 기본 인증 정보를 가로채는 것
🛡️ 대응 방법
@haxtheweb/open-apis 패키지를 버전 26.0.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 26.0.0 미만인 경우 취약한 것으로 판단하며, 버전 정보가 없거나 26.0.0 이상이면 안전합니다.
npm list @haxtheweb/open-apis 2>/dev/null | grep -E 'version'