🇰🇷 한글 설명
WebSocket 전송을 활성화한 Spring for GraphQL 애플리케이션에서 Cross-Site WebSocket Hijacking(CSWH) 취약점이 발견되었습니다. 공격자는 인증된 사용자를 악성 페이지로 유도하여 사용자의 권한으로 임의의 GraphQL 작업을 실행할 수 있습니다.
💡 쉬운 설명
로그인된 사용자가 나쁜 사이트에 접속하면, 그 사이트가 사용자의 권한을 몰래 빌려 서버에 명령을 내릴 수 있는 문제입니다. 이를 통해 공격자는 사용자의 정보를 마음대로 조회하거나 수정할 수 있습니다.
🇺🇸 원문 (English)
Spring for GraphQL applications that have enabled the WebSocket transport are vulnerable to Cross-Site WebSocket Hijacking. An attacker can trick an authenticated user into visiting a malicious page, allowing the attacker to execute arbitrary GraphQL operations with the victim's credentials.
Affected versions:
Spring for GraphQL 2.0.0 through 2.0.3; 1.4.0 through 1.4.5; 1.3.0 through 1.3.8; 1.0.0 through 1.0.6.
📍 영향받는 시스템
Spring for GraphQL 2.0.0-2.0.3, 1.4.0-1.4.5, 1.3.0-1.3.8, 1.0.0-1.0.6
⚔️ 공격 벡터
사용자를 악성 웹사이트로 유도하여 브라우저의 WebSocket 연결을 가로채는 방식
🛡️ 대응 방법
Spring for GraphQL을 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 현재 프로젝트가 사용 중인 spring-graphql의 버전을 확인하여 취약 범위에 해당하는지 체크합니다.
mvn dependency:list | grep 'spring-graphql'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P4
📅 2026-06-17 · sec_notice
Spring Framework 및 관련 라이브러리(Micrometer, Spring Security 등)에서 SSRF, XSS, RCE 가능성이 있는 다수의 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 권고된 최신 버전으로 즉시 업데이트해야 합니다.