🇰🇷 한글 설명
Mercurius는 Fastify를 위한 GraphQL 어댑터로, 16.4.0 버전 이전에서 CSRF 취약점이 발견되었습니다. Content-Type 헤더를 잘못 파싱하여 특정 형식을 application/json으로 오인함으로써 fetch() API의 프리플라이트(preflight) 검사를 우회할 수 있습니다. 이를 통해 인증된 사용자를 대신하여 권한 없는 동작을 수행할 수 있는 위험이 있습니다.
💡 쉬운 설명
웹사이트가 사용자의 의도와 상관없이 몰래 명령을 내릴 수 있는 보안 구멍이 발견되었습니다. 공격자가 데이터 형식을 속여서 브라우저의 보안 검사를 통과한 뒤 사용자의 계정으로 나쁜 행동을 할 수 있습니다.
🇺🇸 원문 (English)
Mercurius is a GraphQL adapter for Fastify. Prior to version 16.4.0, a cross-site request forgery (CSRF) vulnerability was identified. The issue arises from incorrect parsing of the Content-Type header in requests. Specifically, requests with Content-Type values such as application/x-www-form-urlencoded, multipart/form-data, or text/plain could be misinterpreted as application/json. This misinterpretation bypasses the preflight checks performed by the fetch() API, potentially allowing unauthorized actions to be performed on behalf of an authenticated user. This issue has been patched in version 16.4.0.
📍 영향받는 시스템
Mercurius version < 16.4.0
⚔️ 공격 벡터
Content-Type 헤더 조작을 통한 CSRF 공격 및 브라우저 프리플라이트 검사 우회
🛡️ 대응 방법
Mercurius를 16.4.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 mercurius의 버전이 16.4.0 미만인지 확인하십시오.