🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전에서 CORS 설정 시 allow_origins가 와일드카드(*)로 설정되고 allow_credentials가 true로 활성화될 수 있는 취약점이 존재합니다. 공격자는 악성 웹사이트를 통해 사용자를 대신하여 API에 인증된 교차 출처 요청을 보낼 수 있습니다.
💡 쉬운 설명
웹사이트가 아무 사이트에서나 내 정보를 가져갈 수 있게 허용해버린 보안 설정 오류입니다. 해커가 만든 가짜 사이트에 접속하면 사용자의 로그인 정보가 담긴 요청이 몰래 전송될 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 configure CORS with allow_origins set to wildcard and allow_credentials enabled to true. Attackers can create malicious websites that make authenticated cross-origin requests to the API on behalf of any user who visits them.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.0
⚔️ 공격 벡터
악성 웹사이트를 통한 인증된 교차 출처 요청(Cross-Origin Request) 유도
🛡️ 대응 방법
openssl_encrypt 버전을 1.4.0 이상으로 업데이트하거나 CORS 설정을 특정 도메인으로 제한하십시오.
🔧 검증 코드
명령어 결과에 1.4.0 이상의 버전이 표시되지 않으면 취약할 가능성이 있습니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\[\.\]4\.[\.\]0'