🇰🇷 한글 설명
serialize-to-js 3.0.1 미만 버전에서 정규 표현식 직렬화 시 안전하지 않은 문자를 적절히 처리하지 못해 발생하는 XSS 취약점입니다. Node.js 환경에서는 정규식 문자열화 과정에서 슬래시가 이스케이프되어 안전하지만, Node.js가 아닌 다른 환경에서 직렬화된 데이터를 사용할 경우 공격을 받을 수 있습니다.
💡 쉬운 설명
데이터를 변환하는 과정에서 특수 문자를 제대로 막지 못해 웹사이트에서 악성 코드가 실행될 수 있는 문제입니다. Node.js가 아닌 다른 환경에서 이 데이터를 불러올 때 위험합니다.
🇺🇸 원문 (English)
The serialize-to-js NPM package before version 3.0.1 is vulnerable to Cross-site Scripting (XSS). It does not properly mitigate against unsafe characters in serialized regular expressions. This vulnerability is not affected on Node.js environment since Node.js's implementation of RegExp.prototype.toString() backslash-escapes all forward slashes in regular expressions. If serialized data of regular expression objects are used in an environment other than Node.js, it is affected by this vulnerability.
📍 영향받는 시스템
serialize-to-js package version < 3.0.1
⚔️ 공격 벡터
직렬화된 정규 표현식 객체 내에 악성 스크립트가 포함된 특수 문자를 삽입하여 실행
🛡️ 대응 방법
serialize-to-js 패키지를 3.0.1 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 3.0.1 미만인지 확인하여 취약 여부를 판단합니다.