오늘의 보안 문제 #12

2026-11-12 문제입니다. 코드를 읽고 가장 심각한 보안 취약점을 고르세요.

로그인 후 원래 보던 페이지로 돌려보내는 코드입니다. 가장 심각한 취약점은?

1app.post('/login', async (req, res) => {
2  const user = await authenticate(req.body.id, req.body.password);
3  if (!user) return res.status(401).send('로그인 실패');
4  req.session.userId = user.id;
5  res.redirect(req.query.next || '/');
6});

1. A로그인 실패 메시지가 너무 자세하다
2. B세션 고정 공격을 막기 위해 비밀번호를 해시해야 한다
3. Credirect 는 POST 요청에서 쓸 수 없다
4. Dnext 에 외부 주소를 넣어 피싱 사이트로 보낼 수 있다 (오픈 리다이렉트)