🇰🇷 한글 설명
Amazon awslabs postgres-mcp-server 1.1.7 미만 버전의 SQL 검증 컴포넌트에서 허용되지 않은 입력값 목록이 불완전하게 관리되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 인증된 사용자의 상호작용 시 조작된 SQL을 삽입하여 읽기 전용 범위를 벗어난 데이터를 수정할 수 있습니다.
💡 쉬운 설명
데이터베이스를 검사하는 규칙이 완벽하지 않아, 공격자가 몰래 특수한 명령어를 끼워 넣을 수 있는 문제입니다. 이로 인해 원래는 읽기만 가능해야 하는 데이터가 공격자에 의해 마음대로 수정될 위험이 있습니다.
🇺🇸 원문 (English)
An incomplete list of disallowed inputs in the SQL validation component in Amazon awslabs postgres-mcp-server before version 1.1.7 might allow an unauthenticated actor to modify data beyond the read-only scope by placing crafted SQL into the content that is submitted when an authenticated user interacts with the MCP server.
To remediate this issue, users should upgrade to version 1.1.7 or above.
📍 영향받는 시스템
Amazon awslabs postgres-mcp-server version < 1.1.7
⚔️ 공격 벡터
인증된 사용자가 MCP 서버와 상호작용할 때 조작된 SQL 구문을 콘텐츠에 포함시켜 전달하는 방식
🛡️ 대응 방법
postgres-mcp-server를 1.1.7 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 1.1.7보다 낮은지 확인하십시오.
pip show postgres-mcp-server 2>/dev/null | grep Version