🇰🇷 한글 설명
Ruby on Rails 기반 오픈소스 이커머스 솔루션인 Spree의 특정 API 엔드포인트에서 인증된 사용자가 타인의 게스트 장바구니를 자신의 계정에 연결할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 타인의 결제 및 배송지 정보를 탈취하거나 기존 사용자의 장바구니를 방해할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 손님이 담아둔 장바구니 정보를 로그인한 사용자가 몰래 자신의 계정으로 가져올 수 있는 보안 결함입니다. 이 과정에서 다른 사람의 주소나 연락처 같은 개인정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Spree is an open source e-commerce solution built with Ruby on Rails. From 5.4.0 until 5.4.4 and 5.5.4, PATCH /api/v3/store/carts/:id/associate in Spree::Api::V3::Store::CartsController#associate uses find_cart_for_association to locate a cart by prefixed_id but does not require a cart token or otherwise verify possession of the selected guest cart. An authenticated customer can derive reversible prefixed cart IDs, associate an eligible guest cart with the attacker's account, and receive billing and shipping address data from the cart. Exploitation requires a guest cart with address data on a store that does not require login for checkout, and reassignment can also disrupt the guest's in-progress cart. This issue is fixed in versions 5.4.4 and 5.5.4.
📍 영향받는 시스템
Spree 5.4.0 ~ 5.4.4 및 5.5.4 버전
⚔️ 공격 벡터
인증된 사용자가 유추 가능한 장바구니 ID를 사용하여 API를 통해 타인의 게스트 장바구니를 자신의 계정에 강제로 연결
🛡️ 대응 방법
Spree를 최신 보안 패치가 적용된 버전인 5.4.4 또는 5.5.4 이상으로 업데이트
🔧 검증 코드
출력된 결과에 취약한 버전(5.4.0-5.4.4 또는 5.5.4)이 포함되어 있다면 해당 버전이 설치된 상태입니다.
gem list spree | grep -E '5.4.[0-4]|5.5.4'