🇰🇷 한글 설명
cookiecutter 2.1.1 미만 버전에서 hg 인자 주입을 통한 명령 실행(Command Injection) 취약점이 발견되었습니다. Python 코드에서 checkout 파라미터를 사용하여 cookiecutter 함수를 호출할 때, 입력값이 hg checkout 명령에 전달되는 과정에서 추가 플래그를 설정할 수 있어 임의의 명령이 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 명령어를 실행할 때 사용자가 입력한 값을 제대로 검사하지 않아 발생하는 문제입니다. 공격자가 특수하게 조작된 값을 입력하면 컴퓨터가 해커의 명령을 대신 수행하게 됩니다.
🇺🇸 원문 (English)
The package cookiecutter before 2.1.1 are vulnerable to Command Injection via hg argument injection. When calling the cookiecutter function from Python code with the checkout parameter, it is passed to the hg checkout command in a way that additional flags can be set. The additional flags can be used to perform a command injection.
📍 영향받는 시스템
cookiecutter 2.1.1 미만 모든 버전
⚔️ 공격 벡터
Python 코드 내 cookiecutter 함수 호출 시 checkout 파라미터에 악의적인 hg 플래그 주입
🛡️ 대응 방법
cookiecutter 패키지를 2.1.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.1.1보다 낮으면 취약한 상태입니다.
pip show cookiecutter | grep Version