2019년, 보안 연구자 Harsh Jaiswal은 Vimeo의 API 콘솔이 서버 쪽에서 대신 요청을 보내주는 기능을 분석하다가, URL 경로의 일부로 취급되는 파라미터에 경로 순회(path traversal) 문자열을 넣을 수 있다는 걸 발견했습니다. 이 결함은 오픈 리다이렉트와 이어 붙여져 서버 쪽 요청 위조(SSRF)로 이어졌고, 최종적으로는 Vimeo가 올라가 있던 클라우드 인프라의 메타데이터 서비스까지 건드릴 수 있는 수준까지 갔습니다. 원문에 따르면 초기 임시 조치 보상 100달러에 이어 영구 수정 확인 후 4,900달러가 추가 지급돼, 합계 5,000달러가 지급됐습니다.
서버가 공격자 지정 URL로 요청을 보내게 만드는 SSRF(서버 사이드 요청 위조)는 코드만 보면 다 똑같아 보입니다. 그런데 같은 모양의 결함이라도 그 값이 **어디서 들어오는지**에 따라 실제 위험도가 크게 갈립니다. 이 글은 저희가 검증 작업을 반복하며 정리한, SSRF의 진짜/가짜를 가르는 기준 하나를 소개합니다.
WordPress 'Mailgun for WordPress' 플러그인 2.2.0 이하는 add_list() 함수가 사용자 통제 배열 키를 sanitize_text_field()로만 처리해, 경로 순회를 통해 사이트의 Mailgun API 키로 임의 API 엔드포인트를 호출하는 무인증 SSRF가 발생합니다. 이 권한으로 받은 메일 전달 규칙을 심어 관리자 비밀번호 재설정 메일을 가로채면 계정 탈취까지 이어집니다(CVSS 3.1 9.8 CRITICAL, CWE-918 — Wordfence/NVD 확인). 2.2.1에서 패치됐습니다.