🇰🇷 한글 설명
Aimeos GraphQL API 관리 인터페이스에서 부적절한 접근 제어 취약점이 발견되었습니다. 이로 인해 에디터 권한을 가진 사용자가 JQAdm 프런트엔드에서는 허용되지 않는 자신의 서비스를 GraphQL API를 통해 직접 관리할 수 있습니다.
💡 쉬운 설명
관리자 권한이 없는 일반 편집자가 API를 직접 이용해 허용되지 않은 설정을 변경할 수 있는 보안 허점입니다. 원래는 화면에서 막아둔 기능을 뒷문(API)을 통해 우회하여 사용하는 것과 같습니다.
🇺🇸 원문 (English)
aimeos/ai-admin-graphql is the Aimeos GraphQL API admin interface. Starting in version 2022.04.1 and prior to versions 2022.10.10, 2023.10.6, and 2024.4.2, improper access control allows a editors to manage own services via GraphQL API which isn't allowed in the JQAdm front end. Versions 2022.10.10, 2023.10.6, and 2024.4.2 contain a patch for the issue.
📍 영향받는 시스템
Aimeos (2022.04.1 버전부터 2022.10.10, 2023.10.6, 2024.4.2 미만 버전까지)
⚔️ 공격 벡터
GraphQL API를 이용한 권한 우회 및 직접적인 서비스 관리 요청
🛡️ 대응 방법
Aimeos를 최신 패치 버전(2022.10.10, 2023.10.6 또는 2024.4.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 패치가 적용된 버전(2022.10.10, 2023.10.6, 2024.4.2 이상)인지 확인하십시오.
composer show aimeos/aimeos | grep versions