🇰🇷 한글 설명
Laravel용 MongoDB 통합 패키지의 임베디드 문서 관계 처리 과정에서 데이터 쿼리 로직의 특수 요소 중화 미흡 취약점이 발견되었습니다. 인증된 사용자가 식별자 대신 쿼리 조건을 입력할 수 있어, 의도하지 않은 임베디드 문서를 삭제하거나 다른 문서를 덮어쓸 수 있습니다.
💡 쉬운 설명
데이터를 찾을 때 사용하는 이름표를 조작하여 시스템을 속이는 공격입니다. 이를 통해 공격자는 원래 지워서는 안 되는 데이터를 모두 삭제하거나 다른 데이터로 바꿔치기할 수 있습니다.
🇺🇸 원문 (English)
Improper neutralization of special elements in data query logic in the embedded-document relation handling of the MongoDB integration for Laravel can cause a caller-supplied embedded record identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence such an identifier may delete all embedded documents in a targeted record or overwrite an embedded document other than the intended target.
📍 영향받는 시스템
Laravel MongoDB integration (embedded-document relation handling logic)
⚔️ 공격 벡터
인증된 사용자가 임베디드 레코드 식별자 필드에 조작된 쿼리 조건을 주입하여 공격
🛡️ 대응 방법
해당 패키지를 최신 보안 패치가 적용된 버전으로 업데이트하고 입력값 검증 로직을 강화하십시오.
🔧 검증 코드
출력된 패키지 버전이 취약점이 해결된 보안 업데이트 버전인지 확인하십시오.
composer show mongodb/laravel-mongodb | grep 'versions'