🇰🇷 한글 설명
Spring for GraphQL 애플리케이션이 페이지네이션된 GraphQL 쿼리를 처리할 때 안전하지 않은 역직렬화 취약점이 발생합니다. 공격자가 악의적인 GraphQL 요청을 생성하면 원격 코드 실행(RCE)이 가능하며, 이는 애플리케이션이 Connection 필드를 노출하고 클래스패스에 특정 클래스가 존재할 때 발생합니다.
💡 쉬운 설명
데이터를 나누어 보여주는 기능을 처리하는 과정에서 해커가 조작된 데이터를 보내 컴퓨터를 마음대로 조종할 수 있는 문제입니다. 특정 조건이 갖춰지면 해커가 서버에 직접 명령을 내릴 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Spring for GraphQL applications are vulnerable to Unsafe Deserialization when processing paginated GraphQL queries. An attacker can craft a malicious GraphQL request that can lead to Remote Code Execution when the application exposes a paginated (Connection) field and the classpath contains specific classes that can be leveraged during deserialization.
Affected versions:
Spring for GraphQL 2.0.0 through 2.0.3; 1.4.0 through 1.4.5; 1.3.0 through 1.3.8.
📍 영향받는 시스템
Spring for GraphQL 2.0.0-2.0.3, 1.4.0-1.4.5, 1.3.0-1.3.8
⚔️ 공격 벡터
페이지네이션(Connection) 필드를 포함한 악의적으로 조작된 GraphQL 요청 전송
🛡️ 대응 방법
Spring for GraphQL을 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 spring-graphql의 버전이 취약한 범위(2.0.0-2.0.3, 1.4.0-1.4.5, 1.3.0-1.3.8)에 포함되는지 확인하십시오.
mvn dependency:list | grep 'spring-graphql'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P4
📅 2026-06-17 · sec_notice
Spring Framework 및 관련 라이브러리(Micrometer, Spring Security 등)에서 SSRF, XSS, RCE 가능성이 있는 다수의 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 권고된 최신 버전으로 즉시 업데이트해야 합니다.