🇰🇷 한글 설명
Chaskiq의 특정 커밋(46dfdd1)에서 인증 누락 취약점이 발견되었습니다. 공격자는 인증 없이 stripeCreateIntent GraphQL 뮤테이션을 사용하여 모든 테넌트의 Stripe 구독을 조작할 수 있습니다. 이로 인해 자격 증명 없이도 결제 의도를 생성하고 빌링 정보를 변경할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 서비스의 결제 시스템에 마음대로 접근할 수 있는 보안 구멍이 발견되었습니다. 이를 통해 공격자는 다른 사용자의 결제 정보를 조작하거나 가짜 결제 요청을 보낼 수 있습니다.
🇺🇸 원문 (English)
A missing authentication vulnerability in Chaskiq through commit 46dfdd1 allows unauthenticated remote attackers to manipulate any tenant Stripe subscription via the stripeCreateIntent GraphQL mutation. The mutation lacks authentication and authorization checks, exposing Stripe payment intent creation to unauthenticated callers. An attacker can create payment intents and alter billing for any tenant without credentials.
📍 영향받는 시스템
Chaskiq (commit 46dfdd1 포함 이전 버전)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 GraphQL API(stripeCreateIntent)를 호출하여 공격 수행
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하고 GraphQL 뮤테이션에 대한 인증 및 권한 검사 로직을 적용해야 합니다.
🔧 검증 코드
출력된 커밋 해시가 취약한 커밋(46dfdd1)과 같거나 그 이전 버전인지 확인합니다.