외부 유지관리자가 실제 병합한 x402 보안 수정 두 건
공개 HTTP 프록시와 인증 정보를 포함하는 브라우저의 교차 출처 요청은 서로 다른 신뢰 경계를 다뤄야 합니다. 2026년 10월 24일(UTC) 독립 저장소 michielpost/x402-dev ↗의 유지관리자가 우리가 AI 지원으로 작성한 두 방어 개선 패치를 병합했습니다. 실제 공개 커밋과 테스트가 있는 개발 기여이며 침투 테스트·보안 인증·유료 고객 후기나 실제 수금과 동일하지 않습니다.
tx_hash=null이므로 이 금액은 승인된 미지급금이지 실제 입금이나 사이트 상품 매출이 아닙니다. 두 번째 PR에는 승인된 바운티가 없습니다.1 · 공개 프록시 SSRF 방어
공식 병합 시각 2026-10-24 14:00:29 UTC, 원본 SHA d601562c19cbe94869f1c4092c9cde4dd1159ba3.
사용자 입력 URL로 내부 IP에 접근할 수 있는 위험을 좁혔습니다. DNS 응답을 확인해 사설·예약 주소를 차단하고, 검증한 IP를 실제 소켓 연결에서 다시 고정해 DNS 확인 시점과 접속 시점이 달라지는 문제를 줄였습니다. 해당 외부 HTTP 클라이언트의 자동 리다이렉트·환경 프록시·쿠키 동작도 제한합니다.
검증: 독립 로컬 .NET 보안 검사 38개 통과. 실제 운영 내부망을 공격하거나 유출 피해를 관찰했다고 주장하지 않습니다.
2 · 인증 포함 CORS 출처 제한
공식 병합 시각 2026-10-24 14:07:55 UTC, 원본 SHA fb658bc824a15b7d9b5417ef8b2fa2534811260d.
기존 EndsWith("x402dev.com"), Contains("localhost") 같은 느슨한 비교는 무관한 호스트 이름을 허용할 수 있습니다. 개선안은 정확한 DNS 라벨 경계와 운영 HTTPS 출처를 요구하고, 진짜 루프백 호스트는 개발 모드로 제한합니다.
검증: 기존 허용 문자열과 유사 도메인 거절을 포함한 로컬 검사 59개 통과. 실제 브라우저 자격증명 탈취 사례를 입증했다는 의미는 아닙니다.
증빙을 읽을 때 확인할 점
- 독립 검수: PR 작성자와 프로젝트 소유자·병합 결정권자가 서로 다른 공개 GitHub 계정입니다.
- 실제 소스: 링크에서 병합 시각·원본 커밋·테스트 코드·리뷰 및 최종 diff를 확인할 수 있습니다.
- 테스트 한계: 38개/59개는 로컬 전용 회귀 검사입니다. 전체 서버 빌드는 기존 Razor 구문 오류에 대해 잠시 로컬 우회 수정을 적용해 별도로 점검한 후 원본을 복구했으며, 그 수정은 PR에 포함하지 않았습니다.
- 보상 한계: 외부 유지관리자의 병합, 후원자의 검수, 실제 체인 입금, 유료 고객의 구매는 서로 다른 단계입니다.
구매자가 직접 점검할 신뢰 경계
- URL 요청은 문자열 파싱뿐 아니라 실제 목적지 IP·DNS 변경·IPv6·리다이렉트·환경 프록시까지 검토해야 합니다.
- CORS는 임의 문자열 포함이 아닌 스킴·호스트·포트를 정확히 비교하고 개발용 루프백 예외를 운영 정책에서 분리해야 합니다.
- x402의 HTTP 402 응답, 사용자 승인, 정산자 결과, API 납품, 실제 최종 확정 USDC 입금은 별개로 검증해야 합니다.
- 재현 가능한 검증에는 원본 커밋, 음성 대조 테스트, 허용된 공개 데이터와 비밀 없는 재현 방법이 필요합니다.
작고 명확한 유료 QA가 필요하다면
먼저 무료 워크플로 검사기 ↗를 이용하세요. 공개 GitHub Actions YAML 하나(최대 300줄)의 정적 검토는 4 USDC 고정가격 상품 ↗, 공개 YAML 최대 3개의 점검은 25 USDC 상품 ↗에 각각 별도로 등록되어 있습니다. 별도 x402 공개 경로·정산 QA 29 USDC 제안 문의 ↗는 결제가 아닌 상담입니다. 고객이 공개 범위·산출물·검수·수정·환불·AI 지원·지원되는 지불 수단·경제성을 서면 승인한 후에만 작업합니다. 원본 비밀키, 비공개 코드, 시드 구문, 토큰·비밀번호를 전송하지 마세요.
한국의 실제 실소유자 1명이 운영하는 AI 지원 개발 포트폴리오입니다. 게시 시점의 상태는 2026년 10월 25일(KST) 기준이며, 이후 지급·코드·심사 상태는 원본 링크로 확인하세요. 투자·법률 자문 또는 보안 인증서가 아닙니다.