🇰🇷 한글 설명
easy-pdf-merge 0.1.0 버전부터 0.2.6 버전 사이에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 소스 경로, 대상 경로 또는 maxHeap 옵션에 셸 메타문자를 삽입하여 Node.js 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
PDF 파일을 합치는 프로그램의 설정값에 악성 명령어를 몰래 끼워 넣어 컴퓨터를 마음대로 조종할 수 있는 보안 약점입니다. 공격자가 파일 이름에 특수 기호를 넣는 것만으로도 시스템에 해로운 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
easy-pdf-merge 0.1.0 through 0.2.6 contains an OS command injection vulnerability that allows attackers to execute commands by injecting shell metacharacters into source paths, destination path, or maxHeap option. Attackers can supply file names or options containing double quotes, semicolons, $() or backticks, which child_process.exec() runs through a shell with the Node.js process privileges.
📍 영향받는 시스템
easy-pdf-merge 0.1.0 ~ 0.2.6
⚔️ 공격 벡터
파일 경로 또는 옵션 값에 세미콜론(;), 백틱(`), $() 등의 셸 메타문자를 삽입하여 공격
🛡️ 대응 방법
해당 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력값에 대한 엄격한 검증 로직을 추가합니다.
🔧 검증 코드
출력된 결과에서 easy-pdf-merge의 버전이 0.1.0에서 0.2.6 사이인지 확인합니다.