security(platform): dependency submission이 취약한 jsoup을 추가한다 #2298

작업 유형

security — 보안 취약점·권한·자격·공급망 대응

주 담당 모듈

platform — CI·빌드·릴리스·저장소 운영

개요

릴리스 PR #2297의 Dependency Review가 org.jsoup:jsoup:1.23.1을 높은 심각도의 취약 패키지로 판정해 실패했다. 이 패키지는 앱 런타임이 아니라 Gradle dependency-submission 플러그인 1.5.0이 가져오는 빌드 의존성이다. 플러그인 1.5.0은 Gradle Actions v6.4.0에서 도입됐다.

상위 액션에 확인 가능한 패치 버전이 없으므로 dependency-submission 액션 참조를 검증된 v6.3.0으로 되돌려 취약 전이 의존성이 릴리스 dependency graph에 새로 들어오지 않게 한다. 관련 워크플로 전부를 같은 SHA와 버전으로 맞추고 Dependency Review 및 저장소 검사를 통과시킨다. 상위 액션이 취약 의존성을 제거한 버전을 공개하면 그 버전을 다시 검토한다.

완료 조건:

• 변경한 각 dependency-submission 호출이 동일한 v6.3.0 SHA를 가리킨다.
• 릴리스 PR의 Dependency Review가 jsoup 취약 항목 때문에 실패하지 않는다.
• 워크플로 정책 검사와 관련 CI가 통과한다.

자식 이슈

참고

• 릴리스 차단 근거: PR release: deliver Kakao invitations and accumulated changes (#944) #2297 Dependency Review, job run 38519737382
• GitHub Advisory: GHSA-65r4-943x-97jj
• Gradle Actions v6.4.0 dependency-submission 플러그인 변경: https://github.com/gradle/actions/releases/tag/v6.4.0