🇰🇷 한글 설명
Node.js용 merge-deep 라이브러리 3.0.3 미만 버전에서 Object.prototype의 속성을 덮어쓰거나 새로운 속성을 추가할 수 있는 취약점이 발견되었습니다. 이로 인해 해당 라이브러리를 사용하는 애플리케이션에서 프로토타입 오염(Prototype Pollution) 공격이 가능해집니다.
💡 쉬운 설명
프로그램의 가장 기본이 되는 설계도에 공격자가 몰래 내용을 끼워 넣는 공격입니다. 이렇게 되면 프로그램 내의 모든 데이터가 공격자가 의도한 대로 조작될 위험이 있습니다.
🇺🇸 원문 (English)
The merge-deep library before 3.0.3 for Node.js can be tricked into overwriting properties of Object.prototype or adding new properties to it. These properties are then inherited by every object in the program, thus facilitating prototype-pollution attacks against applications using this library.
📍 영향받는 시스템
merge-deep library versions prior to 3.0.3 (Node.js)
⚔️ 공격 벡터
악의적으로 조작된 객체를 merge-deep 함수에 입력하여 Object.prototype을 오염시키는 방식
🛡️ 대응 방법
merge-deep 라이브러리를 3.0.3 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 merge-deep의 버전이 3.0.3 미만인지 확인하십시오.