🇰🇷 한글 설명
Mercurius 8.10.0부터 8.11.1 버전 사이의 사용자는 /graphql 경로로 잘못된 형식의 JSON을 전송할 경우 서비스 거부(DoS) 공격을 받을 수 있습니다. 사용자 정의 에러 핸들러를 사용하지 않는 경우에만 이 취약점이 발생합니다. 이 문제는 v8.11.2 버전에서 수정되었습니다.
💡 쉬운 설명
잘못된 데이터 형식을 보내 서버를 마비시키는 공격에 취약한 상태입니다. 서버가 비정상적인 요청을 처리하지 못해 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Mercurius is a GraphQL adapter for Fastify. Any users from
[email protected] to 8.11.1 are subjected to a denial of service attack by sending a malformed JSON to `/graphql` unless they are using a custom error handler. The vulnerability has been fixed in https://github.com/mercurius-js/mercurius/pull/678 and shipped as v8.11.2. As a workaround users may use a custom error handler.
📍 영향받는 시스템
Mercurius v8.10.0 ~ v8.11.1
⚔️ 공격 벡터
/graphql 엔드포인트로 조작된(malformed) JSON 데이터를 전송하여 서비스 거부 유도
🛡️ 대응 방법
Mercurius를 v8.11.2 이상으로 업데이트하거나 사용자 정의 에러 핸들러를 구현하십시오.
🔧 검증 코드
출력된 버전이 8.11.2 미만인지 확인하십시오.
npm list mercurius | grep mercurius