🇰🇷 한글 설명
Node.js용 eslint-fixer 패키지 0.1.5 이하 버전에서 fix 함수를 통해 쉘 메타문자를 이용한 명령 주입(Command Injection) 취약점이 발생합니다. 이 취약점은 유지보수가 중단된 제품에만 영향을 미치며, 해당 GitHub 저장소는 의도적으로 삭제되었습니다.
💡 쉬운 설명
프로그램이 코드를 수정하는 과정에서 악의적인 명령어를 몰래 끼워 넣어 컴퓨터를 마음대로 조종할 수 있는 보안 약점입니다. 사용자가 입력한 특수 문자가 시스템 명령어로 실행될 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
The eslint-fixer package through 0.1.5 for Node.js allows command injection via shell metacharacters to the fix function. NOTE: This vulnerability only affects products that are no longer supported by the maintainer. The ozum/eslint-fixer GitHub repository has been intentionally deleted
📍 영향받는 시스템
eslint-fixer package version 0.1.5 and below
⚔️ 공격 벡터
fix 함수에 쉘 메타문자가 포함된 입력값을 전달하여 임의의 시스템 명령 실행
🛡️ 대응 방법
해당 패키지 사용을 중단하고, 대체 가능한 유지보수 중인 라이브러리로 교체하십시오.
🔧 검증 코드
출력 결과에 eslint-fixer 버전이 0.1.5 이하로 표시되면 취약한 상태입니다.
npm list eslint-fixer 2>/dev/null | grep -E 'eslint-fixer@'