graphql-tools mergeIncrementalResult 프로토타입 오염 취약점
GraphQL 도구를 쓰는 Node.js 프로그램이 조작될 수 있습니다.
요약
graphql-tools의 mergeIncrementalResult 함수가 점진적 응답의 경로 값을 검사하지 않아, 악성 또는 침해된 상위 GraphQL 응답이 Node.js 프로세스의 Object.prototype에 공격자가 정한 속성을 쓸 수 있습니다. 10.10.1부터 12.0.2 미만 버전이 해당합니다.
해당 조건
- 신뢰할 수 없는 소스의 @defer 또는 @stream 전송 결과를 병합하는 경우
대처법
12.0.2 이상으로 업데이트하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: github.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인