🇰🇷 한글 설명
GoDaddy의 node-config-shield 패키지 0.2.2 미만 버전의 scripts/cli.js 파일에서 set 명령어를 처리할 때 eval 함수를 호출하는 취약점이 발견되었습니다. 벤더 측은 해당 명령어가 신뢰할 수 없는 데이터를 처리하도록 설계되지 않았으므로 취약점이 아니라고 주장하고 있습니다.
💡 쉬운 설명
프로그램이 명령어를 처리하는 과정에서 사용자가 입력한 코드를 그대로 실행할 수 있는 위험이 있습니다. 다만, 이 기능은 원래 믿을 수 있는 관리자만 사용하도록 만들어진 기능입니다.
🇺🇸 원문 (English)
scripts/cli.js in the GoDaddy node-config-shield (aka Config Shield) package before 0.2.2 for Node.js calls eval when processing a set command. NOTE: the vendor reportedly states that this is not a vulnerability. The set command was not intended for use with untrusted data
📍 영향받는 시스템
GoDaddy node-config-shield 패키지 0.2.2 미만 버전
⚔️ 공격 벡터
신뢰할 수 없는 사용자가 set 명령어를 통해 악의적인 JavaScript 코드를 주입하여 실행
🛡️ 대응 방법
node-config-shield 패키지를 0.2.2 이상 버전으로 업데이트하거나, set 명령어를 신뢰할 수 없는 데이터에 사용하지 않도록 주의
🔧 검증 코드
출력된 결과에서 node-config-shield의 버전이 0.2.2 미만인지 확인
npm list node-config-shield