🇰🇷 한글 설명
Mongoid ODM의 중첩 속성 처리 과정에서 발생하는 부적절한 직접 객체 참조(IDOR) 취약점입니다. 권한이 낮은 사용자가 자신의 소유가 아닌 레코드 식별자를 참조하여, 소유권 제한 없이 데이터를 조회하거나 자신의 레코드에 연결하여 수정할 수 있습니다. 이로 인해 타인의 데이터가 유출되거나 무단으로 수정될 위험이 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 데이터 번호를 입력하여 남의 정보를 몰래 보거나 수정할 수 있는 보안 구멍입니다. 마치 내 열쇠로 옆집 문을 열고 들어가 물건을 바꾸는 것과 같습니다.
🇺🇸 원문 (English)
An insecure direct object reference in the nested attributes handling of the Mongoid object-document mapper may allow a user with basic application privileges to reference a record identifier that is not their own. Processing such a request can cause that record to be looked up without the usual ownership or scoping restrictions, then updated and linked to the requesting user's own record. This may result in unintended disclosure and unauthorized modification of data belonging to other users of the application.
📍 영향받는 시스템
Mongoid Object-Document Mapper (버전 미상)
⚔️ 공격 벡터
중첩된 속성 내의 레코드 식별자를 조작하여 권한 검증을 우회하는 IDOR 공격
🛡️ 대응 방법
Mongoid 라이브러리를 최신 보안 패치 버전으로 업데이트하고, 모든 데이터 접근 시 소유권 검증 로직을 강화해야 합니다.
🔧 검증 코드
출력된 Mongoid의 버전을 확인하여 취약점이 해결된 최신 버전인지 대조합니다.