🇰🇷 한글 설명
Gitingest 0.3.1 이하 버전에서 _validate_host 함수가 호스트 이름을 제대로 검증하지 못하는 취약점이 발견되었습니다. 공격자는 git., gitlab., 또는 github. 접두사를 사용하는 임의의 호스트를 통해 외부 연결을 유도하고, HTTP 기본 인증을 통해 GitHub 개인 액세스 토큰을 탈취할 수 있습니다.
💡 쉬운 설명
특정 주소 형식을 가진 가짜 사이트를 통해 사용자의 중요한 비밀번호나 토큰을 몰래 빼갈 수 있는 보안 구멍이 있습니다. 공격자가 만든 주소를 입력하면 시스템이 이를 정상적인 사이트로 착각하여 정보를 넘겨줄 위험이 있습니다.
🇺🇸 원문 (English)
Gitingest through 0.3.1 fails to properly validate hostnames in _validate_host, accepting any host with a git., gitlab., or github. prefix regardless of known-hosts list membership. Attackers can submit URLs with attacker-controlled hostnames to trigger outbound connections to arbitrary hosts and disclose GitHub personal access tokens via HTTP basic credentials.
📍 영향받는 시스템
Gitingest 0.3.1 및 그 이하 모든 버전
⚔️ 공격 벡터
공격자가 제어하는 호스트명을 포함한 URL을 제출하여 외부 연결을 유도하고 인증 정보를 탈취하는 방식
🛡️ 대응 방법
Gitingest를 최신 버전으로 업데이트하거나 호스트 검증 로직이 수정된 패치를 적용하십시오.
🔧 검증 코드
출력된 버전이 0.3.1 이하인지 확인하여 취약 여부를 판단합니다.
pip show gitingest | grep Version