🇰🇷 한글 설명
pytonapi SDK의 2.0.0에서 2.2.0 버전 사이에서 TonapiWebhookDispatcher가 사용자 정의 경로로 등록된 웹훅의 Authorization 헤더를 검증하지 못하는 취약점이 발견되었습니다. setup() 함수가 기본 경로에만 토큰을 저장하고 사용자 정의 경로에는 저장하지 않아 인증 검사가 생략되기 때문입니다. 공격자는 인증 없이 조작된 페이로드를 전송하여 피해자의 웹훅 핸들러를 실행할 수 있습니다.
💡 쉬운 설명
TON 블록체인 도구인 pytonapi를 사용할 때, 특정 경로를 직접 설정하면 보안 검사를 건너뛰는 문제가 있습니다. 이를 통해 해커가 인증 없이 가짜 데이터를 보내 시스템의 특정 기능을 강제로 실행할 수 있습니다.
🇺🇸 원문 (English)
pytonapi is a Python SDK for TONAPI that provides REST API, streaming, and webhook access to the TON blockchain. From 2.0.0 to 2.2.0, TonapiWebhookDispatcher fails to validate the Authorization header when a webhook handler is registered with the documented path argument, because setup() stores bearer tokens only under the default suffix paths and never adds the custom path to the token map, so self._tokens.get(path) returns None and the authentication guard is skipped. An unauthenticated remote attacker can POST forged payloads to the custom webhook endpoint and trigger victim-defined handlers. This issue is fixed in version 2.2.1.
📍 영향받는 시스템
pytonapi SDK version 2.0.0 to 2.2.0
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 조작된 POST 요청을 사용자 정의 웹훅 엔드포인트로 전송
🛡️ 대응 방법
pytonapi SDK를 버전 2.2.1 이상으로 업데이트
🔧 검증 코드
출력된 버전이 2.2.0 이하이면 취약한 상태이며, 2.2.1 이상이면 안전합니다.
pip show pytonapi | grep Version