Villain 커뮤니티
18+
Villain
beta1
공지
이벤트
특집/기획
뉴스/정보
커뮤니티
질문/토론
빌런포럼
장터/핫딜
브랜드로그
자유게시판유머게시판리뷰/사용기갤러리버그/건의18+게시판
이제 로그인 되네요 알파테스트 참여중인 느낌 ㅎㅎ 태그 필수 없애주세요~
자유게시판 누에엥 2025-08-03
3
회원가입이랑 글작성을 해서 드디어~ 생각보다 적응 안되는 에디터에 슬슬 적응하기 시작했습니다만… 여전히 어려운건 사실이네요 ㅎㅎ 베타가 언능 끝나고 편안한 커뮤니티가 되길 기원합니다
자유게시판 해악사마 2025-08-03
4
또냐 왜 또 글이 안써지냥
자유게시판 마도섭풍 2025-08-03
5
출첵이 되어도 여전히 포인트는 없군요 ㅎㅎ
어제는 하루종일 댓글 남기려 해도 로그인 하라고 그러더니.. 그 버그는 사라졌지만 여전히 출첵은 안되네여. ㅠㅠ 언제쯤 정상화가 될 지.
자유게시판 가즈 2025-08-03
6
쿠거 (COUGAR) Omny X BLACK 케이스 촬영본 한국 첫 공개
쿠거 (COUGAR) Omny X BLACK 케이스 한국 첫 실사 촬영본. 지난 5월 대만에서 열린 컴퓨텍스 2025 전시회에서 전시 되었던 제품의 정식 출시 제품. 실사 촬영본을 한국 시장에서는 처음으로 ‘커뮤니티 빌런 18+’ 가 단독으로 공개합니다. 유통사는 서린씨앤아이이며, 가격 비교 서비스 다나와 기준 최저가는 17만 1,790원 입니다.
케이스/쿨링 대장 2025-08-02
10
추가 요청사항 지금 응답할때의 데이터를 더 살펴봤는데 헤더 관련하여 미흡한 부분도 있어 이를 추가요청합니다. CSP (Content-Security-Policy) HSTS (Strict-Transport-Security) 두 개의 헤더 설정은 XSS 공격을 막는 것과 https의 접속 강제를 설정하는 헤더로, SSH로 보안설정을 해도 정작 https로 접속하지 않으면 보안의 위험이 있기 때문에 필수로 설정해야 하는 헤더인데 이 두개가 빠져있습니다.
버그/건의 잔고0원 2025-08-02
3
추가 문제사항2
URL에 관한 권한 설정이 필요 합니다. 이유는 제가 혹시나 싶어서 비공개로 글을 작성하고 URL을 접속하니 아주 쉽게 접근이 되는군요. 실제로는 노출 안되는 게시글이 이렇게 쉽게 접근이 가능합니다. 2. 게시글 저장 관련 페이로드를 보면 302 Found가 발생합니다. 이는 제대로 된 정보가 넘어가지 않아 발생된 문제이며, 이로 인하여 이미 저장된 게시글은 본문이 수정은 되지만 타이틀이 수정되지 않는 부분들이 발생됩니다. 실제로 넘겼던 Payload 값. 저장 후 다시 넘어오니 보이는 제목 텍스트 무슨 이야기인지는 한번만 테스트해봐도 알 수 있겠네요.
버그/건의 잔고0원 2025-08-02
3
추가 문제사항
문제 사항. XSS 관련 보안 위험 서버에서 응답 되는 값들을 살펴보는 중 문제가 될 수 있는 사항을 발견함. X-XSS-Protection을 Value를 0으로 설정함. 이는 웹 브라우저에게 서버가 “이 사이트는 XSS 보호기능 끄세요.” 라고 지시한거임. 이건 XSS 보안관련 위험문제가 높음. 여기에 플러스로 더 위험한건 바로 게시글을 조회할때 발생하는 API 중 하나인 https://www.villain.city/api/auth/check 이거임. 왜? 여기에 반환되는 응답값에는 이전에 작성했던 개인정보가 여기서도 똑같이 표기되기 때문임. 여기서 필요한 것은 roles와 role, 그리고 block, black뿐임. 즉, 그 위에 있는 userId 외의 다른 개인정보를 서버에서는 반환하여선 안됨. XSS 프로 텍터가 꺼져있는 상태에 이게 js로 반환이 된다? 그러면 중간에 누군가가 이 응답 값을 가로 챌 수 있다는 것임. CKEditor를 사용하고 있는데 CKEditor도 필터링을 통해 HTML 소스 같은 것들을 표기하지 못하도록 기능을 구현해놓고 있지만, 하지만 무언가에 의해 필터링을 피해 입력할 수 있다면? 그 순간 api/auth/check를 통해 개인정보를 모두 취득할 수 있게 됨. script로 공격자 서버에다가 이 데이터를 넘기게 설정할 수 있으니까. 그러면 해킹을 직접적으로 당한 것이 아니라서 서버나 관리자도 이는 눈치 채지도 못할 것이고, 그러다 개인정보 털리면? 큰일나게 되는거임.. 그리고 어떤 api에서 개인정보를 반환합니까.. 저도 독학으로 프로그래밍 배웠지만 프로그램에서 사용자 정보 수정 외에는 사용자의 데이터에서 접근 할 수 있어야 하는 건 사용자의 ID만 접근 할 수 있어야 합니다. 또한, 설정 관련해서 Access-Control-Allow-Origin: * 이게 뭔지 아십니까? 어디서든 이 URL를 맘대로 조회할 수 있다는 뜻입니다. 그러면 무슨 문제가 있느냐.. 어디서든 API를 조회요청을 할 수 있고, 서버는 이 요청을 무시하지 않고 답변을 해준다는 것입니다. 즉, 지금 어떤 방식으로 auth 데이터를 수신요청하고 있는지는 아직 확인이 안되었지만 공격자가 사용자의 정보를 얻기 위해 전송되는 값을 알게 된다면 api요청을 통해 auth 데이터를 요청할 수 있고, 서버는 모든 주소를 허용했기 때문에 그 요청에 개인정보를 그대로 넘겨줄 수 있다는 뜻입니다.
버그/건의 잔고0원 2025-08-02
3
안녕하세요. 새로 가입한 신입입니다! 이번에 새로 가입했습니다..인사 올립니다!! 화이팅~
자유게시판 광팔이 2025-08-02
2
자 오늘도.. 대장님과 운영자님을 위한 디버깅을 시작해볼까요?
자유게시판 잔고0원 2025-08-02
3
131 132 133
탁탁몰
인사이 런칭
큐냅 블랙프라이데이
Today Ranking
  • 종합
  • 뉴스/정보
  • 커뮤니티
  • 질문/토론
1. 겨울철 전기차 주행거리, 이렇게 하면 극대화할 수 있다 2. 조텍 VIP 멤버십, 12월 맞아 달콤한 제주귤 증정 이벤트 진행 3. 삼성, Exynos 2600 최초 공개… “조용히 들었고, 핵심부터 다듬었다”는 티저로 메시지 전달 4. Intel Core Ultra 7 366H, Geekbench에 유출 – iGPU 성능이 Radeon 840M 대비 26%↑ 5. Ai로 만든 광고, 업계비상. 6. 알리 광군제와 블프 때문일까요? 평택세관에 오래 붙들려 있네요. 7. 테슬라 Model 3/Y 중국산 LG NCM811 팩, 심각한 고장률과 압도적으로 짧은 수명 8. 이제 한파 시작인듯 하네요. 9. ‘Windows on ARM 지원 외장 GPU’, 엔비디아·AMD가 아니라 중국 리쑤안일 가능성 10. 테슬라 중국산 LG 배터리, “상태가 catastrophic(재앙적)”…유럽 수리 업체의 주장
커뮤니티 빌런 18+ ( Villain ) Beta 2.0
본사 l 서울 금천구 가산디지털1로 33-33 대륭테크노타운2차 7층 705-5호
대표전화 l 010-4588-4581 | 서비스 시작일 l 2025-08-15
커뮤니티 빌런 18+ ( Villain ) 의 모든 콘텐츠(영상,기사, 사진)는 출처를 표기하는 조건으로 무단 전재와 복사, 배포 등을 허용합니다.
Copyright © 커뮤니티 빌런 18+ ( Villain ) All Rights Reserved.
광고
호스팅 로고