🟠[P1] fix(api): proxy and upload routes leak error.message verbatim to clients

[teddylee777]

컨텍스트 블록

Key	Value
Category	api
Checklist	ISS-API-03 — Error responses leak stack traces or sensitive internal paths
Priority	P1 🟠
Scan Date	2026-04-16
Flagged By	@api-explorer

요약

• WHAT: 여러 API 라우트가 500 에러 응답에 error.message를 그대로 반환 — Node.js fetch 에러에 포함된 내부 호스트명/포트/파일 시스템 경로가 클라이언트로 유출
• WHY: admin 라우트들은 "Internal server error" 문자열로 마스킹하지만 프록시/업로드/langsmith 라우트는 마스킹 누락 — 일관성 부재
• WHERE: frontend/src/app/api/[..._path]/route.ts:160, frontend/src/app/api/upload/route.ts:112, frontend/src/app/api/admin/upload/route.ts:102, frontend/src/app/api/langsmith/runs/route.ts:142
• SEVERITY: HIGH — 인프라 토폴로지 정보 유출 + 공격자 정찰 지원

Evidence

#	File	Line	Finding	Flagged By	Confidence
1	frontend/src/app/api/[..._path]/route.ts	160	return NextResponse.json({ error: error.message }, { status: 500 }) — 프록시 라우트, fetch 에러에 내부 호스트 포함 가능	@api-explorer	High
2	frontend/src/app/api/upload/route.ts	112	Failed to upload file: ${error.message} — fs 에러의 절대경로 유출	@api-explorer	High
3	frontend/src/app/api/admin/upload/route.ts	102	동일 패턴	@api-explorer	High
4	frontend/src/app/api/langsmith/runs/route.ts	142	LangSmith SDK 에러의 API 키 조각/URL 유출 가능	@api-explorer	High

영향 분석

영향 범위

• 프록시를 통한 LangGraph 호출 실패 응답 (가장 빈번한 경로)
• 파일 업로드 실패 시 서버의 UPLOAD_DIR 경로 노출
• LangSmith 런 조회 실패 시 trace URL/API 키 앞자리 노출

장애 시나리오

1. 공격자가 프록시 라우트에 의도적으로 잘못된 페이로드 전송
2. Node.js fetch가 connect ECONNREFUSED 10.0.0.5:8123 같은 에러 생성
3. 클라이언트 응답에 내부 네트워크 토폴로지 노출 → 내부 IP/포트 정찰 성공
4. 또는 업로드 에러 시 ENOENT: no such file /var/www/uploads/... 응답으로 서버 파일 시스템 구조 파악

긴급도

• OWASP Top 10 중 A05:2021 Security Misconfiguration에 해당
• 기존 이슈 🟠[P1] fix(security): SSRF prevention incomplete — admin URL bypass and IPv6 gap #57 (SSRF)과 결합 시 내부 리소스 정찰 더 용이

제안 해결 방안

접근 방법

공통 에러 로거 + 마스킹 헬퍼 도입 (frontend/src/lib/api/error-response.ts 신규):

export function internalErrorResponse(error: unknown, context: string) {
  console.error(\`[api] ${context}\`, error); // 서버 사이드 로그
  return NextResponse.json(
    { error: \"Internal server error\" },
    { status: 500 }
  );
}

네 군데 라우트 모두 이 헬퍼로 치환. development 환경에서만 상세 메시지 허용하려면 process.env.NODE_ENV === \"development\" 분기 추가.

대안

• 에러 코드 시스템 도입: { code: \"FETCH_UPSTREAM_FAILED\", requestId: \"...\" } 반환 후 서버 로그에서 상세 확인 → 더 나은 장기 설계지만 스코프 확대
• RFC 9457 Problem Details 준수: 표준 형식 준수 → 마찬가지로 스코프 확대

수용 기준

• 4개 라우트 모두 500 응답에서 error.message 제거
• 서버 로그(stdout/stderr)에는 전체 스택트레이스 유지
• e2e 테스트로 의도적 에러 유발 후 응답 바디 검증
• 테스트 커맨드: cd frontend && pnpm test

참조

• 관련 파일: 위 4개 라우트 파일
• Checklist 항목: ISS-API-03
• 관련 이슈: 🟠[P1] fix(security): SSRF prevention incomplete — admin URL bypass and IPv6 gap #57 (SSRF, 정보 유출 벡터 유사)

재현 방법

사전 조건

• dev 서버 실행

단계

1. LangGraph 서버를 중지한 상태로 프록시 라우트 호출: curl http://localhost:3000/api/invalid/path
2. 응답 바디의 error 필드 확인

기대 결과

{ \"error\": \"Internal server error\" }

실제 결과

{ \"error\": \"fetch failed: connect ECONNREFUSED 127.0.0.1:8123\" } (내부 포트 노출)

관련 코드 컨텍스트

File	Role	Relevance
frontend/src/app/api/[..._path]/route.ts	LangGraph 프록시 엔드포인트	수정 대상
frontend/src/app/api/upload/route.ts	사용자 파일 업로드	수정 대상
frontend/src/app/api/admin/upload/route.ts	admin 자산 업로드	수정 대상
frontend/src/app/api/langsmith/runs/route.ts	LangSmith trace 조회	수정 대상

---

Detected by oh-my-braincrew `omb:issue` scan
Category: api | Scan date: 2026-04-16
`omb-issue-scan category=api checklist=ISS-API-03`