🇰🇷 한글 설명
ElectricSQL은 PostgreSQL 동기화 엔진으로, 1.1.12부터 1.5.0 이전 버전의 /v1/shape API에서 order_by 파라미터가 오류 기반 SQL 인젝션에 취약합니다. 인증된 사용자는 조작된 ORDER BY 표현식을 통해 기본 PostgreSQL 데이터베이스의 전체 내용을 읽기, 쓰기, 삭제할 수 있습니다.
💡 쉬운 설명
ElectricSQL의 정렬 기능에 숨겨진 보안 결함이 있어서, 로그인한 사용자가 모든 데이터베이스 데이터를 마음대로 볼 수 있습니다. 악의적인 사용자가 이를 악용하면 회사의 모든 중요 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Electric is a Postgres sync engine. From 1.1.12 to before 1.5.0, the order_by parameter in the ElectricSQL /v1/shape API is vulnerable to error-based SQL injection, allowing any authenticated user to read, write, and destroy the full contents of the underlying PostgreSQL database through crafted ORDER BY expressions. This vulnerability is fixed in 1.5.0.
📍 영향받는 시스템
Electric 1.1.12 ~ 1.4.x 버전
⚔️ 공격 벡터
/v1/shape API의 order_by 파라미터에 SQL 인젝션 페이로드를 전송하는 오류 기반 SQL 인젝션
🛡️ 대응 방법
Electric을 1.5.0 이상으로 즉시 업그레이드
🔧 검증 코드
1.5.0 미만의 버전(특히 1.1.12~1.4.x)이 출력되면 취약한 상태입니다.
npm list electric 2>/dev/null | grep -oE 'electric@[0-9]+\.[0-9]+\.[0-9]+' | head -1