🇰🇷 한글 설명
NL Portal Backend Libraries의 `nl.nl-portal:taak` 패키지(1.5.0~3.0.0 버전)에서 발생하는 취약점입니다. 인증된 사용자가 타인의 작업 ID를 알 경우 `submitTaakV2` GraphQL 뮤테이션을 통해 타인의 양식 데이터를 읽거나 수정하고 작업을 완료 처리할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 작업 번호만 알면 그 사람의 개인 정보를 훔쳐보거나 내용을 마음대로 바꿀 수 있는 보안 결함입니다. 이로 인해 타인의 업무를 대신 완료하거나 데이터를 조작하는 것이 가능해집니다.
🇺🇸 원문 (English)
NL Portal Backend Libraries provide backend components for Dutch government portals that interact with residents, customers, suppliers, and partner organizations. The `nl.nl-portal:taak` package from version 1.5.0 through 3.0.0 fails to verify ownership when processing the `submitTaakV2` GraphQL mutation, allowing an authenticated user who knows or guesses another user’s task ID to read its form data, overwrite its submitted data, and mark the task as completed. Version 3.0.1 contains a patch. As a workaround, block the `submitTaakV2` mutation at the API gateway or restrict the `/graphql` endpoint to trusted networks
📍 영향받는 시스템
nl.nl-portal:taak package version 1.5.0 through 3.0.0
⚔️ 공격 벡터
인증된 사용자가 타인의 task ID를 추측하여 GraphQL `submitTaakV2` 뮤테이션을 호출하는 방식
🛡️ 대응 방법
패키지를 3.0.1 버전 이상으로 업데이트하거나, API 게이트웨이에서 `submitTaakV2` 뮤테이션을 차단하고 `/graphql` 엔드포인트 접근을 신뢰할 수 있는 네트워크로 제한하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위(1.5.0~3.0.0)가 나타나면 해당 시스템은 보안 위험이 있는 상태입니다.
npm list nl.nl-portal:taak 2>/dev/null | grep -E 'nl.nl-portal:taak@([1-2]\.|3\.0\.0)'