teum.(틈) — 세상에 내놓기 전에

—미지정상태

SQL 쿼리에 사용자 입력이 직접 포함됨

높음실행 검증 안 함

src/users/user.repository.ts:42

요청의 email 값이 SQL 문자열에 직접 합쳐집니다. 입력이 쿼리 구조에 영향을 줄 수 있으므로, SQL 문장과 값을 분리하는 수정이 필요합니다.

예제 코드

발견 시점 코드

삭제, 기존 42행: 42−const sql = `SELECT id, email FROM users삭제, 기존 43행: 43−  WHERE email = '${email}'`;삭제, 기존 44행: 44−return this.dataSource.query(sql);

수정 제안 · 예시

추가, 수정 42행: 42+return this.dataSource.query(추가, 수정 43행: 43+  'SELECT id, email FROM users WHERE email = ?',추가, 수정 44행: 44+  [email],추가, 수정 45행: 45+);

자동 적용·병합하지 않습니다. 직접 검토할 수정 예시입니다.

MariaDB + TypeORM 예시입니다. 사용하는 드라이버의 파라미터 형식과 기존 반환값을 확인하세요.

직접 확인할 항목

현재 처리 상태: 미검토

샘플의 상태만 바뀌며 코드에는 적용되지 않아요. 위험 수용은 사유와 기한이 필요한 실제 작업 공간에서 기록해요. 재점검 관측 결과는 직접 변경하지 않아요.