🇰🇷 한글 설명
Node.js serve-index 패키지 1.6.3 이전 버전에서 파일/디렉토리 이름 처리 시 XSS 취약점이 존재합니다. 공격자가 웹 스크립트 코드를 포함한 특수한 파일명을 생성하면, 사용자가 파일 목록을 조회할 때 해당 코드가 그대로 실행됩니다. 이를 통해 세션 탈취, 개인정보 도용, 악성 스크립트 주입 등의 피해가 발생할 수 있습니다.
💡 쉬운 설명
웹서버에서 파일 목록을 보여주는 프로그램이 파일 이름을 제대로 검사하지 않아, 해킹 코드를 포함한 파일명이 그대로 실행됩니다. 사용자가 그 파일 목록 페이지를 방문하면 자동으로 해킹 코드가 실행되어 개인정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the serve-index package before 1.6.3 for Node.js allows remote attackers to inject arbitrary web script or HTML via a crafted file or directory name.
📍 영향받는 시스템
Node.js serve-index 패키지 1.6.3 이전 모든 버전
⚔️ 공격 벡터
특수하게 제작된 XSS 페이로드를 포함한 파일 또는 디렉토리 이름을 생성하고, 사용자가 해당 파일 목록 페이지에 접근할 때 공격자의 자바스크립트 코드가 사용자 브라우저에서 실행됩니다.
🛡️ 대응 방법
serve-index 패키지를 1.6.3 이상으로 즉시 업그레이드하세요. (npm update serve-index)
🔧 검증 코드
출력된 버전이 1.6.3 이상이면 안전하고, 1.6.2 이하면 취약점이 있으므로 즉시 업그레이드 필요합니다.
npm list serve-index 2>/dev/null | grep 'serve-index@' | awk '{print $2}' | sed 's/@//g'