🇰🇷 한글 설명
Node.js용 shell-quote 패키지 1.7.3 이전 버전에서 명령 주입(Command Injection) 취약점이 발견되었습니다. Windows 드라이브 문자를 처리하는 정규식의 오류로 인해 이스케이프되지 않은 셸 메타문자가 삽입될 수 있으며, 이를 통해 공격자가 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 윈도우 경로를 처리할 때 글자 범위를 잘못 지정하여 발생하는 보안 구멍입니다. 공격자가 특수 기호를 이용해 컴퓨터에 몰래 명령을 내릴 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
The shell-quote package before 1.7.3 for Node.js allows command injection. An attacker can inject unescaped shell metacharacters through a regex designed to support Windows drive letters. If the output of this package is passed to a real shell as a quoted argument to a command with exec(), an attacker can inject arbitrary commands. This is because the Windows drive letter regex character class is {A-z] instead of the correct {A-Za-z]. Several shell metacharacters exist in the space between capital letter Z and lower case letter a, such as the backtick character.
📍 영향받는 시스템
shell-quote package versions before 1.7.3 (Node.js)
⚔️ 공격 벡터
Windows 드라이브 문자 처리 정규식의 오류를 이용한 셸 메타문자 주입을 통한 명령 실행
🛡️ 대응 방법
shell-quote 패키지를 1.7.3 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 shell-quote의 버전이 1.7.3 미만인지 확인합니다.