🇰🇷 한글 설명
Node.js mixme v0.5.1 미만 버전에서 mutate() 및 merge() 함수를 통해 '__proto__'를 사용하여 객체의 속성을 추가하거나 변경할 수 있는 취약점입니다. 오염된 속성이 프로그램 내 모든 객체에 직접 할당되어 프로그램의 가용성을 위협하고 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
프로그램의 기본 설계도를 몰래 수정하여 시스템을 마비시킬 수 있는 보안 약점입니다. 공격자가 특수한 값을 주입하면 프로그램이 예상치 못한 동작을 하거나 멈춰버릴 수 있습니다.
🇺🇸 원문 (English)
In Node.js mixme, prior to v0.5.1, an attacker can add or alter properties of an object via '__proto__' through the mutate() and merge() functions. The polluted attribute will be directly assigned to every object in the program. This will put the availability of the program at risk causing a potential denial of service (DoS).
📍 영향받는 시스템
Node.js mixme versions prior to v0.5.1
⚔️ 공격 벡터
mutate() 또는 merge() 함수에 조작된 '__proto__' 속성을 포함한 데이터를 입력하여 프로토타입 오염(Prototype Pollution) 유도
🛡️ 대응 방법
mixme 라이브러리를 v0.5.1 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.5.1 미만인 경우 해당 취약점에 노출된 상태입니다.
npm list mixme | grep -E 'mixme@([0-9]+\.[0-9]+\.[0-9]+)'