🇰🇷 한글 설명
Node.js용 marked 라이브러리 0.3.2 이하 버전에서 vbscript 태그에 대한 불완전한 블랙리스트 검증으로 인해 발생하는 XSS 취약점입니다. 공격자가 링크 내 vbscript 태그를 삽입하여 임의의 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
마크다운을 HTML로 변환하는 marked 라이브러리가 위험한 vbscript 태그를 제대로 차단하지 못합니다. 공격자가 이를 악용해 웹 사이트 방문자의 브라우저에서 악성 코드를 실행시킬 수 있습니다.
🇺🇸 원문 (English)
Incomplete blacklist vulnerability in marked 0.3.2 and earlier for Node.js allows remote attackers to conduct cross-site scripting (XSS) attacks via a vbscript tag in a link.
📍 영향받는 시스템
marked npm 패키지 0.3.2 이하 버전 (Node.js)
⚔️ 공격 벡터
마크다운 텍스트에 vbscript 태그가 포함된 링크를 삽입하여 XSS 페이로드 실행
🛡️ 대응 방법
marked를 0.3.3 이상으로 업그레이드: npm update marked 또는 package.json에서 버전 지정 후 npm install
🔧 검증 코드
marked의 현재 설치 버전을 확인하여 0.3.2 이하인 경우 취약점 존재, 0.3.3 이상이면 패치됨
npm list marked 2>/dev/null | grep marked || cat package.json | grep -A1 '"marked"'