🇰🇷 한글 설명
Starlette-Admin 0.16.1 미만 버전에서 list API가 사용자가 입력한 order_by 및 where 필드명을 허용 목록과 대조하여 검증하지 않는 취약점이 발견되었습니다. 인증된 사용자가 관리자 UI의 제한을 우회하여 의도되지 않은 필드로 정렬하거나 필터링할 수 있으며, 특수 속성명을 사용하여 서버 오류를 유발하고 서비스 거부(DoS)를 일으킬 수 있습니다.
💡 쉬운 설명
관리자 페이지를 사용하는 사람이 허용되지 않은 데이터 항목을 조회하거나 서버를 오류에 빠뜨릴 수 있는 문제입니다. 이를 통해 숨겨진 정보를 일부 보거나 서비스 이용을 방해할 수 있습니다.
🇺🇸 원문 (English)
Starlette-Admin is a fast, beautiful and extensible administrative interface framework for FastAPI and Starlette applications. Prior to 0.16.1, the list API does not validate user-supplied order_by and structured where field names against the configured sortable_fields and searchable_fields allowlists. An authenticated user with access to an affected list endpoint can submit arbitrary field names to starlette_admin/base.py and the BaseModelView validation path, bypassing restrictions presented by the administrative user interface. Requests can sort or filter on fields that are not intended to be sortable or searchable, causing limited information exposure. Invalid field names and special Python attribute names such as metadata and the class dunder attribute can also trigger unhandled exceptions and HTTP 500 responses, causing limited denial of service for targeted requests. This issue is fixed in version 0.16.1.
📍 영향받는 시스템
Starlette-Admin versions prior to 0.16.1
⚔️ 공격 벡터
인증된 사용자가 API 요청 시 order_by 또는 where 파라미터에 임의의 필드명이나 특수 속성명을 삽입하여 공격
🛡️ 대응 방법
Starlette-Admin을 0.16.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.16.1 미만이면 취약한 상태이며, 0.16.1 이상이면 안전합니다.
pip show starlette-admin 2>/dev/null | grep Version