🇰🇷 한글 설명
Node.js용 async-git 패키지 1.13.2 이전 버전에서 git.reset 및 git.tag 함수를 통해 OS 명령 주입(Command Injection)이 발생할 수 있습니다. 공격자는 셸 메타문자를 사용하여 시스템 명령을 임의로 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 명령어를 처리할 때 특수 문자를 제대로 걸러내지 못해 발생하는 보안 결함입니다. 해커가 이 틈을 타서 컴퓨터에 몰래 명령을 내려 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
The async-git package before 1.13.2 for Node.js allows OS Command Injection via shell metacharacters, as demonstrated by git.reset and git.tag.
📍 영향받는 시스템
async-git package version < 1.13.2 (Node.js)
⚔️ 공격 벡터
git.reset 또는 git.tag 함수에 셸 메타문자가 포함된 악의적인 입력값을 전달하여 공격
🛡️ 대응 방법
async-git 패키지를 1.13.2 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.13.2 미만이면 취약한 상태이며, 1.13.2 이상이면 안전합니다.
npm list async-git 2>/dev/null | grep -E 'async-git@'