🇰🇷 한글 설명
Django REST framework 3.17.2 미만 버전에서 AdminRenderer.render() 함수가 권한 확인 없이 view.get()을 직접 호출하는 취약점이 발견되었습니다. 공격자가 잘못된 쓰기 요청을 보낼 경우, 400 Bad Request HTML 응답을 통해 권한이 없는 데이터가 노출될 수 있습니다.
💡 쉬운 설명
웹 API를 만들 때 사용하는 도구에서 보안 검사를 건너뛰는 실수가 있었습니다. 이를 통해 허가되지 않은 사용자가 남의 정보를 몰래 훔쳐볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Django REST framework is a powerful and flexible toolkit for building Web APIs. Prior to 3.17.2, Django REST Framework's rest_framework/renderers.py AdminRenderer.render() uses override_method() to simulate GET and directly invokes view.get() without view.check_permissions() while rendering an invalid write request, allowing a 400 Bad Request HTML response to disclose data from a GET representation that the requester is not permitted to access. This issue is fixed in version 3.17.2.
📍 영향받는 시스템
Django REST framework 3.17.2 미만 버전
⚔️ 공격 벡터
권한이 없는 사용자가 잘못된 형식의 쓰기 요청을 보내 400 에러 응답 내에 포함된 데이터 노출 유도
🛡️ 대응 방법
Django REST framework를 3.17.2 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.17.2보다 낮은지 확인
pip show djangorestframework | grep Version