보안 취약점
유용한 플러그인을 공유해 주셔서 감사합니다! 주의가 필요한 치명적인 보안 취약점을 몇 가지 발견했습니다:
문제점
- 권한 확인 누락 - 모든 사용자가 어떤 주제든 판매/구매/교환 상태로 표시할 수 있습니다.
- 백엔드 검증 누락 - 컨트롤러가 다음 항목을 검증하지 않습니다:
- 플러그인 활성화 여부 (
topic_trade_buttons_enabled) - 카테고리 버튼 활성화 여부 (
enable_*_button) - 이러한 설정은 프론트엔드에서만 확인됩니다(안전하지 않음)
- 플러그인 활성화 여부 (
- 입력값 검증 누락 -
topic_id매개변수가 검증되지 않습니다. - 액션 게시글 미생성 - 작업이 기록되지 않으며, 누가 작업을 수행했는지에 대한 로그가 없습니다.
영향
- 무단 주제 조작
- 직접적인 API 호출을 통한 플러그인/카테고리 설정 우회
- 거래 작업을 수행한 사람에 대한 감사 로그(Audit trail) 부재