🇰🇷 한글 설명
Node.js용 jquery.json-viewer 라이브러리 1.4.0 이하 버전에서 JSON 객체 내의 '<'와 같은 문자를 적절히 이스케이프 처리하지 못하는 취약점이 존재합니다. 이로 인해 공격자가 SCRIPT 요소를 삽입하여 악성 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
JSON 데이터를 화면에 보여주는 도구가 특수 문자를 제대로 걸러내지 못해 발생하는 문제입니다. 공격자가 입력창에 악성 코드를 넣으면 웹사이트에서 해당 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
The jquery.json-viewer library through 1.4.0 for Node.js does not properly escape characters such as < in a JSON object, as demonstrated by a SCRIPT element.
📍 영향받는 시스템
jquery.json-viewer library version 1.4.0 and below (Node.js)
⚔️ 공격 벡터
JSON 데이터 내에 악성 HTML/JavaScript 태그를 삽입하여 실행시키는 XSS(Cross-Site Scripting) 공격
🛡️ 대응 방법
해당 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력 데이터에 대한 HTML 이스케이프 처리를 강제해야 합니다.
🔧 검증 코드
출력된 결과에서 jquery.json-viewer의 버전이 1.4.0 이하인지 확인합니다.
npm list jquery.json-viewer