🇰🇷 한글 설명
AIOHTTP의 CookieJar.save()로 저장된 호스트 전용 쿠키가 CookieJar.load()로 복구될 때 호스트 전용 속성을 잃어버리는 취약점입니다. 이로 인해 쿠키가 의도하지 않은 호스트로 전송될 위험이 있습니다. 해당 문제는 3.14.1 버전에서 수정되었습니다.
💡 쉬운 설명
특정 웹사이트 전용으로 설정된 비밀 정보(쿠키)가 저장되었다가 다시 불러와질 때, 다른 사이트에서도 사용할 수 있는 상태로 변하는 문제입니다. 이로 인해 사용자의 중요한 정보가 엉뚱한 사이트로 유출될 수 있습니다.
🇺🇸 원문 (English)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, host-only cookies that are saved with CookieJar.save() and then restored later with CookieJar.load() lose their host-only status. This vulnerability is fixed in 3.14.1.
📍 영향받는 시스템
AIOHTTP 3.14.1 미만 버전
⚔️ 공격 벡터
저장된 쿠키를 불러오는 과정에서 호스트 제한이 해제되어 타 도메인으로 쿠키가 전송됨
🛡️ 대응 방법
AIOHTTP를 3.14.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.14.1보다 낮으면 취약한 상태입니다.
pip show aiohttp | grep Version