🇰🇷 한글 설명
Node.js용 ejs(Embedded JavaScript templates) 패키지 3.1.6 버전에서 서버 측 템플릿 주입(SSTI) 취약점이 발견되었습니다. 공격자가 settings[view options][outputFunctionName] 설정을 조작하여 임의의 OS 명령어를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 템플릿 엔진 설정 오류를 이용해 해커가 서버에 몰래 명령을 내릴 수 있는 보안 구멍입니다. 이를 통해 해커가 서버의 제어권을 완전히 가져갈 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
The ejs (aka Embedded JavaScript templates) package 3.1.6 for Node.js allows server-side template injection in settings[view options][outputFunctionName]. This is parsed as an internal option, and overwrites the outputFunctionName option with an arbitrary OS command (which is executed upon template compilation).
📍 영향받는 시스템
ejs (Embedded JavaScript templates) package version 3.1.6
⚔️ 공격 벡터
템플릿 설정 내 outputFunctionName 옵션에 악성 OS 명령어를 주입하여 실행
🛡️ 대응 방법
ejs 패키지를 취약점이 해결된 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 ejs의 버전이 3.1.6인지 확인하십시오.