🇰🇷 한글 설명
Codigo Markdown Editor 1.0.1에 존재하는 원격 코드 실행 취약점으로, 악의적인 마크다운 파일을 열 때 onerror 이벤트를 통해 Node.js의 child_process 모듈을 악용하여 임의의 시스템 명령을 실행할 수 있습니다. 공격자는 특수하게 제작된 마크다운 파일을 배포하여 사용자가 파일을 열도록 유도함으로써 시스템 제어권을 탈취할 수 있습니다.
💡 쉬운 설명
Codigo 마크다운 에디터 프로그램에서 특수 파일을 열면 공격자가 컴퓨터를 제어할 수 있습니다. 사용자가 모르는 사이에 악의적인 명령이 실행될 수 있다는 뜻입니다.
🇺🇸 원문 (English)
Codigo Markdown Editor 1.0.1 contains a code execution vulnerability that allows attackers to run arbitrary system commands by crafting a malicious markdown file. Attackers can embed a video source with an onerror event that executes shell commands through Node.js child_process module when the file is opened.
📍 영향받는 시스템
Codigo Markdown Editor 버전 1.0.1
⚔️ 공격 벡터
악의적인 마크다운 파일을 사용자에게 전달하여 파일 개인 시 onerror 이벤트 핸들러를 통한 child_process 모듈 악용
🛡️ 대응 방법
Codigo Markdown Editor를 1.0.2 이상의 최신 버전으로 즉시 업그레이드하거나 신뢰할 수 없는 출처의 마크다운 파일 열기 금지
🔧 검증 코드
명령어 출력에 'codigo'가 표시되고 버전 1.0.1이 보이면 취약한 버전이 설치된 상태입니다.
npm list -g codigo 2>/dev/null | grep -E 'codigo|1\.0\.1'