🇰🇷 한글 설명
aiograpi 0.9.10 이전 버전은 서버가 제공한 서명 인증 경로가 상대적 Instagram API 경로인지 검증하기 전에 이를 사용하여 요청 URL을 생성하는 취약점이 있습니다. 공격자가 로컬 네트워크나 프록시 등을 통해 응답을 조작하면, 클라이언트의 세션 헤더를 사용하여 의도하지 않은 호스트로 요청이 전송될 수 있습니다.
💡 쉬운 설명
Instagram API 라이브러리에서 보안 검증 없이 외부에서 받은 경로를 그대로 URL에 사용하는 문제가 있습니다. 해커가 중간에서 이 경로를 조작하면 내 정보를 이용해 다른 곳으로 접속하게 만들 수 있습니다.
🇺🇸 원문 (English)
aiograpi is an asynchronous Instagram API for Python. aiograpi versions before 0.9.10 accepted server-supplied signup challenge paths and used them to build request URLs before validating that the paths were relative Instagram API paths. If an attacker can influence a challenge response, for example through a local network, DNS, or proxy compromise, challenge handling requests could be sent outside the intended Instagram host with the client's existing session headers. Version 0.9.10 validates challenge paths before building URLs, solving captcha challenges, or submitting phone/SMS challenge forms.
📍 영향받는 시스템
aiograpi < 0.9.10
⚔️ 공격 벡터
DNS, 프록시 또는 로컬 네트워크 조작을 통한 서버 응답 경로 변경
🛡️ 대응 방법
aiograpi 패키지를 버전 0.9.10 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 0.9.10보다 낮으면 취약한 버전입니다.
pip show aiograpi 2>/dev/null | grep -i version