🇰🇷 한글 설명
Spring Data MongoDB에서 SpEL(Spring Expression Language) 주입 취약점이 발견되었습니다. @Query 어노테이션이 사용된 사용자 정의 리포지토리 쿼리 메서드에서 캡처-올(capture-all) 플레이스홀더를 통한 파라미터 바인딩 시 문제가 발생합니다.
💡 쉬운 설명
데이터베이스를 조회하는 명령어를 만들 때 사용자가 입력한 값이 검증 없이 실행 가능한 코드로 변환될 수 있는 문제입니다. 공격자가 이를 악용하면 시스템 내부의 중요한 정보를 탈취하거나 제어권을 얻을 수 있습니다.
🇺🇸 원문 (English)
Spring Data MongoDB contains a SpEL (Spring Expression Language) expression injection vulnerability. The issue occurs during parameter binding when a user-defined repository query method is annotated with @Query and utilizes a capture-all placeholder.
Affected versions:
Spring Data MongoDB 5.0.0 through 5.0.5; 4.5.0 through 4.5.11; 4.4.0 through 4.4.14; 4.3.0 through 4.3.16; 4.2.0 through 4.2.15; 4.1.0 through 4.1.14; 4.0.0 through 4.0.15; 3.4.0 through 3.4.19.
📍 영향받는 시스템
Spring Data MongoDB 3.4.0~3.4.19, 4.0.0~4.0.15, 4.1.0~4.1.14, 4.2.0~4.2.15, 4.3.0~4.3.16, 4.4.0~4.4.14, 4.5.0~4.5.11, 5.0.0~5.0.5
⚔️ 공격 벡터
사용자 정의 @Query 메서드의 플레이스홀더에 악의적인 SpEL 표현식을 삽입하여 공격
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Spring Data MongoDB로 업데이트
🔧 검증 코드
출력된 결과에서 spring-data-mongodb의 버전을 확인하여 취약한 버전 범위에 포함되는지 체크
mvn dependency:tree | grep spring-data-mongodb
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P4
📅 2026-06-17 · sec_notice
Spring Framework 및 관련 라이브러리(Micrometer, Spring Security 등)에서 SSRF, XSS, RCE 가능성이 있는 다수의 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 권고된 최신 버전으로 즉시 업데이트해야 합니다.