Repository navigation
fix(homepage): body-parser 요청 처리 취약점 수정 - #354
Merged
Merged
Conversation
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
홈페이지 API가 기본 express.json()으로 압축 요청을 처리하는데, 운영 이미지의 body-parser 2.2.2가 GHSA-27r3-jxmh-p828 영향 범위에 포함됩니다. lockfile의 body-parser를 수정 버전2.4.0으로 갱신하고 필요한 하위 의존성만 함께 변경합니다. API 동작·설정은 유지합니다.
검증: npm ci/npm ls와 기존 Dockerfile의 Node20 Alpine 격리 이미지에서 health/count200, 일반·gzip·deflate·br JSON201, 잘못된 JSON400,100KiB 초과413을 확인했습니다. network none, 운영 DB/비밀정보 없이 no-new-privileges/default seccomp 환경도 통과했습니다. 취약점 공격 재현에는 성공하지 않았으며, upstream advisory와 실제 영향 버전·설정 대조에 근거한 수정입니다.
병합 시 기존 CI가 backend/frontend 이미지를 모두 빌드하고 Ops 태그를 갱신합니다. Ops의 readiness/권한 강화 선행 반영 후 배포하며 실제 설치 버전, 두 Pod의 readiness, 공개 페이지/API 상태를 재확인합니다. 다른 패키지 advisory 전체를 해소하는 변경은 아닙니다.
공식 근거: GHSA-27r3-jxmh-p828