🇰🇷 한글 설명
Magefan Blog GraphQL for Magento 2(magefan/module-blog-graph-ql) 2.2.1 버전의 blogComments GraphQL 쿼리에서 정보 노출 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 POST 요청을 통해 블로그 댓글 작성자의 이메일 주소와 내부 고객 및 관리자 식별자를 탈취할 수 있습니다.
💡 쉬운 설명
해커가 로그인하지 않고도 웹사이트의 특정 기능을 이용해 사용자들의 이메일 주소와 관리자 정보를 몰래 빼낼 수 있는 문제입니다. 이로 인해 개인정보 유출 및 추가적인 보안 공격의 위험이 발생할 수 있습니다.
🇺🇸 원문 (English)
Information disclosure in the blogComments GraphQL query in Magefan Blog GraphQL for Magento 2 (magefan/module-blog-graph-ql) through 2.2.1 allows remote unauthenticated attackers to obtain blog commenter email addresses and internal customer and admin identifiers via a POST request to /graphql.
📍 영향받는 시스템
magefan/module-blog-graph-ql version <= 2.2.1
⚔️ 공격 벡터
인증되지 않은 공격자가 /graphql 엔드포인트로 조작된 POST 요청을 전송
🛡️ 대응 방법
해당 모듈을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.2.1 이하인지 확인하여 취약 여부를 판단합니다.
composer show magefan/module-blog-graph-ql | grep 'versions'