🇰🇷 한글 설명
Python Social Auth의 Vend OAuth2 백엔드에서 발생하는 취약점으로, 5.0.0 미만 버전은 Vend의 숫자형 user_id만을 고유 식별자로 사용합니다. 이로 인해 여러 Vend 상점이 동일한 애플리케이션을 사용할 경우, 서로 다른 상점의 사용자가 동일한 ID를 가질 때 계정 충돌이 발생하여 타인의 계정으로 인증될 수 있습니다.
💡 쉬운 설명
서로 다른 가게에서 같은 번호를 가진 손님이 있을 때, 시스템이 번호만 보고 다른 가게 손님을 같은 사람으로 착각하는 문제입니다. 이로 인해 다른 사람의 계정으로 로그인되는 보안 사고가 발생할 수 있습니다.
🇺🇸 원문 (English)
Python Social Auth is a social authentication/registration mechanism. Prior to version 5.0.0, the Vend OAuth2 backend used only the numeric Vend user_id as the social-auth UID. When multiple Vend shops authenticate through the same application, users from different shops with the same internal Vend user ID could collide in the social-auth association table. A user from one shop could then be authenticated as the local account previously associated with the same numeric user ID from another shop. The issue affects applications using the Vend OAuth2 backend with more than one Vend shop. Version 5.0.0 patches the issue.
📍 영향받는 시스템
Python Social Auth (Vend OAuth2 백엔드 사용 시) 5.0.0 미만 버전
⚔️ 공격 벡터
동일한 numeric user_id를 가진 서로 다른 Vend 상점의 사용자가 시스템에 접근하여 타인 계정 탈취
🛡️ 대응 방법
Python Social Auth를 5.0.0 이상의 버전으로 업데이트
🔧 검증 코드
출력된 버전이 5.0.0 미만이면 취약한 상태이며, 5.0.0 이상이면 안전합니다.
pip show python-social-auth | grep Version