🇰🇷 한글 설명
Strawberry GraphQL 라이브러리 0.288.4부터 0.315.3 버전에서 GraphiQL 헤더 편집기에 입력한 값이 브라우저 URL 쿼리 스트링에 기록되는 취약점이 발견되었습니다. 이로 인해 인증 토큰과 같은 민감한 헤더 정보가 브라우저 방문 기록, 공유된 링크, 서버 및 프록시 로그에 노출될 수 있습니다.
💡 쉬운 설명
GraphQL 도구를 사용할 때 입력한 비밀번호나 인증 키가 웹사이트 주소창에 그대로 노출되는 문제입니다. 이 주소가 기록에 남거나 다른 사람에게 전달되면 보안 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Strawberry GraphQL is a library for creating GraphQL APIs. In versions 0.288.4 through 0.315.3, Strawberry's bundled GraphiQL template wrote values from the GraphiQL headers editor into the browser URL query string. If a user entered a sensitive header, such as `Authorization: Bearer <token>`, the value could become visible in browser history, copied links, and server/proxy/CDN access logs after a page reload or shared request. Version 0.315.4 patches the issue.
📍 영향받는 시스템
Strawberry GraphQL versions 0.288.4 through 0.315.3
⚔️ 공격 벡터
사용자가 GraphiQL 인터페이스에서 민감한 헤더를 입력할 때 URL 쿼리 스트링을 통해 정보가 노출됨
🛡️ 대응 방법
Strawberry GraphQL을 버전 0.315.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.315.4 미만인 경우 해당 취약점에 노출된 상태입니다.
pip show strawberry-graphql | grep Version