🇰🇷 한글 설명
API Platform Core의 GraphQL 리졸버 실행 후 호출되는 보안 검사 로직에 논리적 오류가 존재합니다. 특정 조건에서 보안 검사가 무시되어 권한이 없는 사용자가 데이터에 접근할 수 있는 취약점이 발견되었습니다.
💡 쉬운 설명
API를 통해 데이터를 가져올 때 보안 검사를 수행해야 하는데, 검사 과정에서 실수가 발생하여 문을 잠그지 않고 열어두는 것과 같은 문제가 있습니다. 이로 인해 허가되지 않은 사람이 정보를 볼 수 있습니다.
🇺🇸 원문 (English)
API Platform Core is a system to create hypermedia-driven REST and GraphQL APIs. Starting in version 3.3.8, a security check that gets called after GraphQl resolvers is always replaced by another one as there's no break in a clause. As this falls back to `security`, the impact is there only when there's only a security after resolver and none inside security. Version 3.3.15 contains a patch for the issue.
📍 영향받는 시스템
API Platform Core 3.3.8 미만 버전 (3.3.15 미만 버전 포함)
⚔️ 공격 벡터
GraphQL 쿼리를 통해 보안 검사를 우회하여 비인가 데이터에 접근
🛡️ 대응 방법
API Platform Core를 최신 패치 버전인 3.3.15 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 3.3.15보다 낮으면 취약한 상태입니다.
composer show api-platform/core | grep 'versions'