🇰🇷 한글 설명
Spring for GraphQL에 포함된 GraphiQL 페이지가 애플리케이션의 GraphQL 엔드포인트로 요청을 보낼 때 발생합니다. 공격자가 악성 URL을 공유하면 피해자의 브라우저를 통해 민감한 정보가 공격자의 웹사이트로 유출될 수 있습니다.
💡 쉬운 설명
개발용 도구인 GraphiQL 페이지의 취약점을 이용해 사용자의 정보를 훔쳐가는 공격입니다. 나쁜 링크를 클릭하면 브라우저에 저장된 중요한 데이터가 공격자에게 전달될 수 있습니다.
🇺🇸 원문 (English)
The GraphiQL page bundled with Spring for GraphQL sends requests to the GraphQL endpoints of the application. An attacker can share a malicious URL so that the victim's browser might leak confidential information to the attacker's website.
Spring for GraphQL 2.0.0 - 2.0.4
Spring for GraphQL 1.4.0 - 1.4.6
Spring for GraphQL 1.1.0 - 1.3.9
Spring for GraphQL 1.0.0 - 1.0.7
📍 영향받는 시스템
Spring for GraphQL 2.0.0-2.0.4, 1.4.0-1.4.6, 1.1.0-1.3.9, 1.0.0-1.0.7
⚔️ 공격 벡터
공격자가 설계한 악성 URL을 통해 피해자의 브라우저에서 민감한 데이터를 외부로 유출시키는 방식
🛡️ 대응 방법
Spring for GraphQL을 취약점이 해결된 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 사용 중인 spring-graphql의 버전이 취약한 범위에 포함되는지 확인하십시오.
mvn dependency:tree | grep 'spring-graphql'