🇰🇷 한글 설명
Laravel 웹 프레임워크의 특정 버전에서 읽기 전용 엔드포인트에 조작된 관계 포함 요청을 보낼 경우, 데이터를 조회하는 대신 관련 테이블에 파괴적인 데이터베이스 작업이 실행될 수 있습니다. 이로 인해 쓰기 권한이 없는 사용자도 관련 테이블의 데이터를 삭제하여 데이터 손실, 서비스 거부 및 데이터 무결성 훼손을 초래할 수 있습니다.
💡 쉬운 설명
데이터를 보기만 해야 하는 메뉴에서 특수한 명령을 보내면, 실수로 데이터가 통째로 삭제될 수 있는 보안 결함입니다. 읽기 권한만 가진 사용자도 데이터를 지울 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Laravel is a web application framework. From 12.45.0 until 12.68.0 and 13.27.0, crafted relationship inclusion on a read-only endpoint can trigger a destructive database operation on a related table instead of retrieving data. A user with read access but no write permission can empty related-table data, causing irreversible data loss, denial of service, and loss of data integrity. This issue is fixed in versions 12.68.0 and 13.27.0.
📍 영향받는 시스템
Laravel versions 12.45.0 to 12.68.0 and 13.0.0 to 13.27.0
⚔️ 공격 벡터
읽기 전용 엔드포인트에 조작된 관계 포함(relationship inclusion) 요청 전송
🛡️ 대응 방법
Laravel을 버전 12.68.0 또는 13.27.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 12.68.0 미만이거나 13.27.0 미만인 경우 취약한 상태입니다.
composer show laravel/framework | grep 'versions'