🇰🇷 한글 설명
Geddy 13.0.8 이전 버전의 lib/app/index.js에 디렉토리 트래버설 취약점이 존재하여, 공격자가 경로 인코딩된 ..%2f를 이용해 임의의 파일을 읽을 수 있습니다. 이는 서버 설정 파일, 개인키 등 민감한 정보 유출로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트 URL에 특수한 코드(..%2f)를 넣으면 서버의 숨겨진 파일을 볼 수 있는 보안 결함입니다. 예를 들어 비밀번호 파일이나 설정 정보 같은 것들이 노출될 수 있습니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in lib/app/index.js in Geddy before 13.0.8 for Node.js allows remote attackers to read arbitrary files via a ..%2f (dot dot encoded slash) in the PATH_INFO to the default URI.
📍 영향받는 시스템
Geddy < 13.0.8 (Node.js 웹 프레임워크)
⚔️ 공격 벡터
HTTP 요청의 PATH_INFO에 URL 인코딩된 경로 문자열(..%2f)을 포함시켜 상위 디렉토리 접근
🛡️ 대응 방법
Geddy를 13.0.8 이상 버전으로 업그레이드하거나 경로 검증 로직 강화
🔧 검증 코드
설치된 Geddy 버전이 13.0.8 이상인지 확인. 13.0.8 미만이면 취약함.
npm list geddy 2>/dev/null | grep geddy | head -1