🇰🇷 한글 설명
ericc-ch copilot-api 0.7.0 이하 버전의 Token Endpoint 구성 요소 내 src/server.ts 파일의 cors 함수에서 취약점이 발견되었습니다. 공격자가 조작을 통해 신뢰할 수 없는 도메인에 대해 허용적인 교차 출처 정책(CORS)을 설정할 수 있으며, 원격에서 공격이 가능합니다. 해당 취약점의 익스플로잇 코드가 공개되어 있어 실제 공격에 악용될 위험이 있습니다.
💡 쉬운 설명
웹사이트의 보안 규칙인 CORS 설정이 잘못되어 있어, 외부의 나쁜 사이트가 사용자의 정보를 몰래 가져갈 수 있는 상태입니다. 해커가 원격에서 이 규칙을 조작하여 개인 정보를 탈취할 수 있으므로 주의가 필요합니다.
🇺🇸 원문 (English)
A vulnerability was found in ericc-ch copilot-api up to 0.7.0. The impacted element is the function cors of the file src/server.ts of the component Token Endpoint. Performing a manipulation results in permissive cross-domain policy with untrusted domains. It is possible to initiate the attack remotely. The exploit has been made public and could be used.
📍 영향받는 시스템
ericc-ch copilot-api version 0.7.0 and below
⚔️ 공격 벡터
원격에서 CORS 정책을 조작하여 신뢰할 수 없는 도메인에 접근 허용
🛡️ 대응 방법
CORS 정책을 엄격하게 제한하도록 소스 코드를 수정하고 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.7.0 이하인지 확인하십시오.
npm list ericc-ch-copilot-api 2>/dev/null | grep -E 'ericc-ch-copilot-api@'