🇰🇷 한글 설명
WWBN AVideo의 set_api_userImages API 엔드포인트에서 profileImg 및 backgroundImg URL에 대한 검증이 누락되어 서버 측 요청 위조(SSRF) 취약점이 발생합니다. 인증된 API 클라이언트는 내부 URL을 제공하여 클라우드 메타데이터나 내부 서비스에 접근할 수 있으며, 그 응답이 공개된 웹 경로에 저장되어 외부에서 탈취될 수 있습니다.
💡 쉬운 설명
해커가 권한을 가진 상태에서 서버에게 '내부 비밀 정보가 있는 주소에서 사진을 가져와라'라고 명령할 수 있는 약점입니다. 서버가 이 명령을 수행하면 내부의 민감한 정보가 외부로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
WWBN AVideo through commit c91b5975d contains a server-side request forgery vulnerability in the set_api_userImages API endpoint that fails to validate profileImg and backgroundImg URLs before fetching them. Authenticated API clients can supply internal URLs to fetch cloud metadata or internal services, with responses written to publicly accessible web paths for retrieval.
📍 영향받는 시스템
WWBN AVideo (commit c91b5975d 포함 버전)
⚔️ 공격 벡터
인증된 API 클라이언트가 조작된 내부 URL을 API 엔드포인트에 전달하여 서버를 통해 내부 자원에 접근
🛡️ 대응 방법
API 엔드포인트에서 입력받는 URL에 대한 화이트리스트 검증을 실시하고 내부 네트워크 주소 접근을 차단해야 함
🔧 검증 코드
출력된 커밋 해시가 c91b5975d와 같거나 그 이전 버전인지 확인