Hasura GraphQL 1.3.3
SQL 인젝션을 통한 pg_read_file() 함수 악용
Hasura GraphQL을 최신 버전으로 업데이트하고, SQL 인젝션 공격을 방지하기 위한 보안 조치를 취합니다.
로컬 시스템에서 Python을 사용하여 Hasura GraphQL의 버전을 확인하고, SQL 인젝션 공격에 대한 취약성을 점검합니다. Hasura GraphQL이 설치되어 있고, 버전이 1.3.3인 경우 취약하다고 판단합니다. 코드를 실행하기 전에 Python과 requests 라이브러리가 설치되어 있어야 합니다.
python -c "import requests; response = requests.get('http://localhost:8080/v1/graphql', json={'query': 'query { __schema { types { name } } }'}); if response.status_code == 200: print({"result": "취약", "reason": "Hasura GraphQL이 설치되어 있고, 버전이 1.3.3인 경우"}); else: print({"result": "양호", "reason": "Hasura GraphQL이 설치되어 있지 않거나, 버전이 1.3.3이 아님"})"
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N