🇰🇷 한글 설명
Agoo 2.14.3 미만 버전에서 GraphQL fragment spread가 순환 구조를 형성할 경우 이를 거부하지 않아 애플리케이션이 충돌하는 취약점이 존재합니다. 다만, 벤더 측은 개발자의 논리적 오류를 서버가 모두 강제할 책임은 없다는 이유로 이 취약점 보고에 대해 이의를 제기했습니다.
💡 쉬운 설명
데이터를 요청하는 방식에 무한 반복되는 구조를 포함시켜 서버를 멈추게 만들 수 있는 문제입니다. 서버가 잘못된 요청을 걸러내지 못해 프로그램이 갑자기 종료될 수 있습니다.
🇺🇸 원문 (English)
Agoo before 2.14.3 does not reject GraphQL fragment spreads that form cycles, leading to an application crash. NOTE: the vendor has disputed this on the grounds that it is not the server's responsibility to "enforce all the various ways a developer could write code with logic errors.
📍 영향받는 시스템
Agoo version < 2.14.3
⚔️ 공격 벡터
순환 구조를 가진 GraphQL fragment spread를 포함한 악의적인 쿼리 전송
🛡️ 대응 방법
Agoo를 2.14.3 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 agoo의 버전이 2.14.3보다 낮은지 확인합니다.
npm list agoo 2>/dev/null | grep -E 'agoo@'