🇰🇷 한글 설명
xmldom(@xmldom/xmldom) 패키지의 dom.js 내 copy 함수에서 프로토타입 오염(Prototype Pollution) 취약점이 발견되었습니다. 0.8.3 미만 버전의 Node.js 환경에서 p 변수를 통해 발생하며, 대상 객체를 오염시켜 시스템에 영향을 줄 수 있습니다.
💡 쉬운 설명
프로그램의 기본 설계도에 악의적인 정보를 몰래 끼워 넣는 공격 방식입니다. 이를 통해 해커가 프로그램의 동작 방식을 마음대로 바꾸거나 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
A prototype pollution vulnerability exists in the function copy in dom.js in the xmldom (published as @xmldom/xmldom) package before 0.8.3 for Node.js via the p variable. NOTE: the vendor states "we are in the process of marking this report as invalid"; however, some third parties takes the position that "A prototype injection/Prototype pollution is not just when global objects are polluted with recursive merge or deep cloning but also when a target object is polluted."
📍 영향받는 시스템
@xmldom/xmldom package version < 0.8.3
⚔️ 공격 벡터
조작된 입력값을 통해 copy 함수의 p 변수를 오염시켜 객체의 프로토타입을 변조함
🛡️ 대응 방법
@xmldom/xmldom 패키지를 0.8.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.8.3 미만이면 취약한 상태입니다.