🔍 CVE-2025-62645

9.9
CVSS Score
CRITICAL
2025-10-17
2026-10-08 22:10
✅ 완료

🇰🇷 한글 설명

2025년 9월 6일 이전 버전의 Restaurant Brands International(RBI) 어시스턴트 플랫폼에서 발생하는 취약점입니다. 인증된 원격 공격자가 createToken GraphQL 뮤테이션을 악용하여 플랫폼 전체에 대한 관리자 권한 토큰을 획득할 수 있습니다.

💡 쉬운 설명

로그인 권한이 있는 사용자가 시스템의 특수한 명령어를 조작하여 관리자 권한을 몰래 뺏을 수 있는 보안 결함입니다. 이로 인해 공격자가 플랫폼의 모든 제어권을 가질 수 있어 매우 위험합니다.

🇺🇸 원문 (English)

The Restaurant Brands International (RBI) assistant platform through 2025-09-06 allows a remote authenticated attacker to obtain a token with administrative privileges for the entire platform via the createToken GraphQL mutation.

📍 영향받는 시스템

Restaurant Brands International (RBI) assistant platform (2025-09-06 이전 버전)

⚔️ 공격 벡터

인증된 사용자가 GraphQL의 createToken 뮤테이션을 이용한 원격 공격

🛡️ 대응 방법

플랫폼을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하고 GraphQL API의 권한 검증 로직을 강화하십시오.

🔧 검증 코드

명령어 실행 시 관리자 권한 토큰이 반환된다면 해당 취약점에 노출된 상태입니다.

Shell / Script 
curl -s -X POST -H 'Content-Type: application/json' --data '{"query": "mutation { createToken(input: {role: \"ADMIN\"}) { token } }"}' https://api.rbi-assistant-platform.com/graphql

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

💻 영향받는 소프트웨어

Spring for GraphQL