오늘의 보안 문제 #1

매일 새 문제가 나옵니다. 코드를 읽고 가장 심각한 보안 취약점을 고르세요.

아이디로 회원을 조회하는 로그인 코드입니다 (PostgreSQL, psycopg). 가장 심각한 취약점은?

1def find_user(conn, username):
2    cur = conn.cursor()
3    query = f"SELECT id, password_hash FROM users WHERE username = '{username}'"
4    cur.execute(query)
5    return cur.fetchone()

1. A사용자 입력을 문자열로 이어 붙여 SQL 인젝션이 가능하다
2. Bcursor 를 닫지 않아 메모리가 계속 늘어난다
3. Cfetchone() 대신 fetchall() 을 써야 한다
4. D비밀번호 해시를 조회하므로 해시가 유출된다