🇰🇷 한글 설명
Spring GraphQL의 @Controller 데이터 페처 주석 감지 메커니즘이 타입 계층 구조 내 메서드의 주석을 올바르게 해석하지 못하는 취약점입니다. 이로 인해 인증 및 인가를 위한 보안 주석이 런타임 시 무시될 수 있으며, 권한 우회 공격으로 이어질 수 있습니다.
💡 쉬운 설명
Spring GraphQL에서 보안 설정이 제대로 적용되지 않는 버그입니다. 해커가 이 점을 이용해 권한 없이 중요한 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
The Spring GraphQL annotation detection mechanism for @Controller data fetchers may not correctly resolve annotations on methods within type hierarchies. This can be an issue if such annotations are used for authorization decisions. When all conditions are met, security annotations can be ignored at runtime.
Affected versions:
Spring for GraphQL 2.0.0 through 2.0.3; 1.4.0 through 1.4.5; 1.3.0 through 1.3.8; 1.0.0 through 1.0.6.
📍 영향받는 시스템
Spring for GraphQL 2.0.0-2.0.3, 1.4.0-1.4.5, 1.3.0-1.3.8, 1.0.0-1.0.6
⚔️ 공격 벡터
보안 주석이 적용된 GraphQL 엔드포인트를 통해 권한 없는 데이터 접근 시도
🛡️ 대응 방법
Spring for GraphQL을 최신 안정 버전으로 업그레이드하여 주석 해석 문제를 해결하세요.
🔧 검증 코드
출력된 버전이 취약한 범위(1.0.0-1.0.6, 1.3.0-1.3.8, 1.4.0-1.4.5, 2.0.0-2.0.3)에 해당하면 패치 필요
mvn dependency:tree -Dincludes=org.springframework.graph:spring-graphql 2>/dev/null | grep -E 'spring-graphql'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Spring 제품 보안 업데이트 권고
P4
📅 2026-06-17 · sec_notice
Spring Framework 및 관련 라이브러리(Micrometer, Spring Security 등)에서 SSRF, XSS, RCE 가능성이 있는 다수의 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 권고된 최신 버전으로 즉시 업데이트해야 합니다.