tag
입력 검증
이 태그가 달린 문서 2건
2026-09-05
안전하지 않은 역직렬화: 외부 데이터가 객체 타입을 고르게 두는 위험과 막는 법
역직렬화의 위험은 나쁜 값이 들어오는 데 있지 않다. 일부 형식에서는 어떤 타입의 객체를 만들지 외부 데이터가 정한다는 데 있다. 그래서 피해는 데이터 손상에서 멈추지 않는다. OWASP는 서비스 거부, 접근 제어 우회, 원격 코드 실행을 든다. 방어는 두 가지다. 타입을 고르지 않는 순수 데이터 형식으로 바꾸고, 직렬화된 메시지에 서명해 서명 없는 것은 절대 복원하지 않는다. 그리고 어떤 장치는 설정으로 안전하게 만들 수 없으며, 유일한 해결은 쓰지 않는 것이다.
2026-09-05
Node.js 프로토타입 오염: 런타임이 책임지지 않는 범위와 내 코드에서 방어하는 법
프로토타입 오염은 외부 입력에 든 특수한 키가 대개 재귀 병합을 통해 JavaScript의 내장 프로토타입에 닿을 때 일어납니다. 결과는 두 가지입니다. 설정한 적 없는 속성이 곳곳에 나타나거나(권한·옵션 판정이 틀어짐), 내장 메서드가 사라져 관계없는 곳에서 앱이 죽습니다. 가장 중요한 것은 책임의 소재입니다. Node.js는 이것이 Node.js 코어의 취약점이 아니며 방어는 애플리케이션과 의존성 수준에서 해야 한다고 밝히고 있습니다. 업데이트를 기다려도 해결되지 않습니다.