🇰🇷 한글 설명
Node.js용 hot-formula-parser 패키지 3.0.1 미만 버전의 grammar-parser.jison에서 임의 코드 주입 취약점이 발견되었습니다. parse 함수에 전달되는 값이 적절히 검증되지 않고 eval 함수에 결합되어 실행되므로, 사용자 입력값이 포함될 경우 서버에서 공격자가 임의의 명령어를 실행할 수 있습니다.
💡 쉬운 설명
수학 공식을 계산해주는 프로그램이 사용자가 입력한 내용을 검사하지 않고 그대로 실행해버리는 문제입니다. 이를 통해 해커가 계산기 대신 컴퓨터를 마음대로 조종하는 명령어를 몰래 보낼 수 있습니다.
🇺🇸 원문 (English)
grammar-parser.jison in the hot-formula-parser package before 3.0.1 for Node.js is vulnerable to arbitrary code injection. The package fails to sanitize values passed to the parse function and concatenates them in an eval call. If a value of the formula is taken from user-controlled input, it may allow attackers to run arbitrary commands on the server.
📍 영향받는 시스템
hot-formula-parser package version < 3.0.1 (Node.js)
⚔️ 공격 벡터
사용자로부터 입력받은 수식 데이터를 검증 없이 eval() 함수로 전달하여 임의의 코드를 실행함
🛡️ 대응 방법
hot-formula-parser 패키지를 3.0.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 hot-formula-parser의 버전이 3.0.1 미만인지 확인하십시오.
npm list hot-formula-parser