🇰🇷 한글 설명
Apollo GraphQL의 Apollo Sandbox(2.7.2 미만) 및 Apollo Explorer(3.7.3 미만)에서 CSRF 취약점이 발견되었습니다. 클라이언트 측의 window.postMessage 이벤트 처리 과정에서 Origin 검증이 누락되어, 공격자가 사용자의 인증된 세션을 이용해 임의의 GraphQL 쿼리나 변조를 실행할 수 있습니다.
💡 쉬운 설명
악성 웹사이트를 방문한 사용자의 권한을 몰래 도용하여, 사용자가 로그인된 상태인 GraphQL 서버에 가짜 명령을 보내는 공격입니다. 이를 통해 공격자는 사용자의 데이터를 조회하거나 변경할 수 있습니다.
🇺🇸 원문 (English)
Apollo Studio Embeddable Explorer & Embeddable Sandbox are website embeddable software solutions from Apollo GraphQL. Prior to Apollo Sandbox version 2.7.2 and Apollo Explorer version 3.7.3, a cross-site request forgery (CSRF) vulnerability was identified. The vulnerability arises from missing origin validation in the client-side code that handles window.postMessage events. A malicious website can send forged messages to the embedding page, causing the victim’s browser to execute arbitrary GraphQL queries or mutations against their GraphQL server while authenticated with the victim’s cookies. This issue has been patched in Apollo Sandbox version 2.7.2 and Apollo Explorer version 3.7.3.
📍 영향받는 시스템
Apollo Sandbox < 2.7.2, Apollo Explorer < 3.7.3
⚔️ 공격 벡터
악성 웹사이트를 통한 window.postMessage 위조 메시지 전송
🛡️ 대응 방법
Apollo Sandbox를 2.7.2 이상으로, Apollo Explorer를 3.7.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 패키지 버전이 취약한 버전(Sandbox 2.7.2 미만 또는 Explorer 3.7.3 미만)인지 확인하십시오.
npm list @apollo/sandbox @apollo/explorer