🇰🇷 한글 설명
Next.js App Router를 위한 Apollo Client 지원 패키지인 @apollo/experimental-apollo-client-nextjs에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 악성 링크를 통해 사용자에게 입력을 주입하거나, GraphQL 서버가 악성 데이터를 반환하도록 유도하여 공격을 수행할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자의 브라우저에서 허가되지 않은 악성 코드를 실행하게 만드는 보안 약점입니다. 해커가 만든 특수한 링크를 클릭하거나 서버에 저장된 나쁜 데이터를 불러올 때 발생할 수 있습니다.
🇺🇸 원문 (English)
apollo-client-nextjs is the Apollo Client support for the Next.js App Router. The @apollo/experimental-apollo-client-nextjs NPM package is vulnerable to a cross-site scripting vulnerability. To exploit this vulnerability, an attacker would need to either inject malicious input (e.g. by redirecting a user to a specifically-crafted link) or arrange to have malicious input be returned by a GraphQL server (e.g. by persisting it in a database). To fix this issue, please update to version 0.7.0 or later.
📍 영향받는 시스템
@apollo/experimental-apollo-client-nextjs (0.7.0 미만 버전)
⚔️ 공격 벡터
악성 입력값이 포함된 링크로 사용자를 유도하거나, 조작된 GraphQL 서버 응답을 통해 스크립트 주입
🛡️ 대응 방법
@apollo/experimental-apollo-client-nextjs 패키지를 0.7.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.7.0보다 낮은지 확인합니다.
npm list @apollo/experimental-apollo-client-nextjs