🇰🇷 한글 설명
marked 패키지 0.3.4 이전 버전의 em 인라인 규칙에서 정규식 백트래킹이 발생하여 ReDoS 공격에 취약합니다. 특정 입력을 통해 CPU 자원을 과도하게 소비하게 할 수 있습니다.
💡 쉬운 설명
marked 라이브러리가 특정 텍스트 패턴을 처리할 때 무한 반복에 빠져 서버가 느려지거나 멈출 수 있습니다. 공격자가 의도적으로 그런 텍스트를 보내서 서비스를 방해할 수 있다는 뜻입니다.
🇺🇸 원문 (English)
The marked package before 0.3.4 for Node.js allows attackers to cause a denial of service (CPU consumption) via unspecified vectors that trigger a "catastrophic backtracking issue for the em inline rule," aka a "regular expression denial of service (ReDoS)."
📍 영향받는 시스템
Node.js marked 패키지 0.3.3 및 이전 버전
⚔️ 공격 벡터
마크다운 파싱 시 ReDoS 트리거 패턴을 포함한 입력값 전송
🛡️ 대응 방법
marked 패키지를 0.3.4 이상으로 업그레이드 (npm update marked)
🔧 검증 코드
marked 버전이 0.3.4 이상이면 안전, 0.3.3 이하면 취약
npm list marked 2>/dev/null | grep -E 'marked@|@[0-9]' | head -1