🇰🇷 한글 설명
GraphQL 클라이언트인 urql의 @urql/next 패키지에서 XSS 취약점이 발견되었습니다. 응답 스트림 내 HTML 유사 문자를 적절히 이스케이프 처리하지 않아 발생하며, 스트리밍 응답을 사용하는 웹 애플리케이션에서 악용될 수 있습니다. 이를 해결하려면 버전을 1.1.1 이상으로 업그레이드해야 합니다.
💡 쉬운 설명
웹사이트가 데이터를 실시간으로 받아올 때, 공격자가 보낸 악성 코드가 필터링 없이 실행될 수 있는 보안 약점입니다. 해커가 웹사이트에 가짜 명령어를 심어 사용자의 정보를 훔칠 위험이 있습니다.
🇺🇸 원문 (English)
urql is a GraphQL client that exposes a set of helpers for several frameworks. The `@urql/next` package is vulnerable to XSS. To exploit this an attacker would need to ensure that the response returns `html` tags and that the web-application is using streamed responses (non-RSC). This vulnerability is due to improper escaping of html-like characters in the response-stream. To fix this vulnerability upgrade to version 1.1.1
📍 영향받는 시스템
@urql/next (1.1.1 미만 버전)
⚔️ 공격 벡터
스트리밍 응답을 사용하는 환경에서 HTML 태그가 포함된 조작된 응답을 전송하여 XSS 공격 수행
🛡️ 대응 방법
@urql/next 패키지를 1.1.1 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.1.1보다 낮으면 취약한 상태입니다.
npm list @urql/next 2>/dev/null | grep '@urql/next@'