🇰🇷 한글 설명
Fastify용 GraphQL 어댑터인 Mercurius의 10.5.0 미만 버전에서 발생하는 취약점입니다. 공격자가 /graphql 경로로 WebSocket을 통해 조작된 패킷을 전송하면 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 기능을 사용하는 통로에 잘못된 데이터를 보내 서버를 마비시키는 공격입니다. 이로 인해 정상적인 사용자가 서비스를 이용하지 못하게 될 수 있습니다.
🇺🇸 원문 (English)
Mercurius is a GraphQL adapter for Fastify. Any users of Mercurius until version 10.5.0 are subjected to a denial of service attack by sending a malformed packet over WebSocket to `/graphql`. This issue was patched in #940. As a workaround, users can disable subscriptions.
📍 영향받는 시스템
Mercurius 10.5.0 미만 모든 버전
⚔️ 공격 벡터
WebSocket을 통한 /graphql 경로로의 악의적인 패킷 전송
🛡️ 대응 방법
Mercurius를 10.5.0 이상 버전으로 업데이트하거나, 임시 방편으로 GraphQL 구독(subscriptions) 기능을 비활성화합니다.
🔧 검증 코드
출력된 Mercurius의 버전이 10.5.0 미만인지 확인합니다.