🇰🇷 한글 설명
Dgraph의 25.3.8 이전 버전에서 graphql/resolve/query_rewriter.go 내의 maybeQuoteArg 함수가 정규식 필터 문자열을 적절히 인용하거나 검증하지 않는 취약점이 발견되었습니다. 이로 인해 조작된 GraphQL 쿼리나 뮤테이션 필터를 통해 DQL 연산자를 주입하여 의도하지 않은 노드를 노출하거나 수정 및 삭제 대상을 확장할 수 있습니다.
💡 쉬운 설명
데이터베이스에 명령을 내릴 때 특수 문자를 제대로 걸러내지 못해 발생하는 보안 문제입니다. 공격자가 교묘하게 만든 명령어를 통해 허가되지 않은 데이터를 보거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
Dgraph is an open source distributed GraphQL database. Prior to 25.3.8, maybeQuoteArg in graphql/resolve/query_rewriter.go passes regexp filter strings into generated DQL without quoting or validating the /pattern/flags form, allowing crafted GraphQL query or mutation filters to inject DQL operators, disclose unintended nodes, or expand modification and deletion targets. This issue is fixed in version 25.3.8.
📍 영향받는 시스템
Dgraph version prior to 25.3.8
⚔️ 공격 벡터
조작된 정규식 패턴을 포함한 GraphQL 쿼리 또는 뮤테이션 필터 주입
🛡️ 대응 방법
Dgraph를 최신 보안 패치가 적용된 버전인 25.3.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 25.3.8보다 낮으면 취약한 상태이며, 25.3.8 이상이면 안전합니다.
dgraph_version_command --version 2>/dev/null | grep -E '25\.3\.[8-9]|[2-9][0-9]\.'