🇰🇷 한글 설명
serialize-javascript npm 패키지 2.1.1 미만 버전에서 정규 표현식 직렬화 시 안전하지 않은 문자를 적절히 처리하지 못해 발생하는 XSS 취약점입니다. Node.js 환경에서는 정규식의 슬래시가 이스케이프되어 안전하지만, Node.js가 아닌 다른 환경에서 직렬화된 데이터를 사용할 경우 공격에 노출될 수 있습니다.
💡 쉬운 설명
웹사이트의 데이터를 변환하는 도구에서 특수 문자를 제대로 걸러내지 못해 발생하는 보안 문제입니다. 공격자가 악성 코드를 심어 사용자의 브라우저에서 실행되게 만들 수 있습니다.
🇺🇸 원문 (English)
The serialize-javascript npm package before version 2.1.1 is vulnerable to Cross-site Scripting (XSS). It does not properly mitigate against unsafe characters in serialized regular expressions. This vulnerability is not affected on Node.js environment since Node.js's implementation of RegExp.prototype.toString() backslash-escapes all forward slashes in regular expressions. If serialized data of regular expression objects are used in an environment other than Node.js, it is affected by this vulnerability.
📍 영향받는 시스템
serialize-javascript npm package version < 2.1.1
⚔️ 공격 벡터
정규 표현식이 포함된 직렬화된 데이터를 Node.js가 아닌 환경에서 처리할 때 악성 스크립트 주입
🛡️ 대응 방법
serialize-javascript 패키지를 2.1.1 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.1.1 미만인지 확인
npm list serialize-javascript