🇰🇷 한글 설명
RedwoodSDK 1.0.0-beta.50부터 1.0.5 버전 사이에서 'use server'로 내보낸 서버 함수가 의도된 HTTP 메서드를 우회하여 GET 요청으로 호출될 수 있는 취약점이 발견되었습니다. 쿠키 인증을 사용하는 애플리케이션의 경우, 브라우저가 최상위 GET 요청 시 SameSite=Lax 쿠키를 전송하기 때문에 공격자가 상태를 변경하는 함수를 원격으로 실행할 수 있습니다.
💡 쉬운 설명
원래는 특정 방식으로만 실행되어야 하는 서버 기능이 단순한 웹 주소 클릭(GET 요청)만으로도 실행될 수 있는 문제입니다. 이를 통해 공격자가 사용자의 권한을 도용하여 중요한 데이터를 변경하거나 삭제할 위험이 있습니다.
🇺🇸 원문 (English)
RedwoodSDK is a server-first React framework. From 1.0.0-beta.50 to 1.0.5, erver functions exported from "use server" files could be invoked via GET requests, bypassing their intended HTTP method. In cookie-authenticated applications, this allowed cross-site GET navigations to trigger state-changing functions, because browsers send SameSite=Lax cookies on top-level GET requests. This affected all server functions -- both serverAction() handlers and bare exported functions in "use server" files. This vulnerability is fixed in 1.0.6.
📍 영향받는 시스템
RedwoodSDK 1.0.0-beta.50 ~ 1.0.5
⚔️ 공격 벡터
사용자를 악성 링크로 유도하여 브라우저의 GET 요청을 통해 서버 함수를 실행시키는 CSRF 방식의 공격
🛡️ 대응 방법
RedwoodSDK를 보안 패치가 적용된 1.0.6 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 업데이트가 필요한 상태이며, 아무 결과도 나오지 않으면 안전합니다.
npm list redwood-sdk --depth=0 | grep -E 'redwood-sdk@(1\.0\.[0-49]|1\.0\.0-beta\.[0-9]+)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server