🇰🇷 한글 설명
mysql2 3.9.7 미만 버전에서 timezone 파라미터의 부적절한 새니타이제이션으로 인한 임의 코드 삽입 취약점입니다. readCodeFor 함수가 사용자 입력을 검증하지 않아 공격자가 악의적 코드를 주입하여 실행할 수 있습니다.
💡 쉬운 설명
mysql2 라이브러리가 시간대 정보를 제대로 검증하지 않아 공격자가 악성 코드를 몰래 실행할 수 있습니다. 이를 통해 데이터베이스 전체가 손상되거나 서버가 제어될 수 있습니다.
🇺🇸 원문 (English)
Versions of the package mysql2 before 3.9.7 are vulnerable to Arbitrary Code Injection due to improper sanitization of the timezone parameter in the readCodeFor function by calling a native MySQL Server date/time function.
📍 영향받는 시스템
mysql2 < 3.9.7
⚔️ 공격 벡터
조작된 timezone 파라미터를 readCodeFor 함수에 전달하여 코드 삽입
🛡️ 대응 방법
mysql2를 3.9.7 이상으로 업그레이드
🔧 검증 코드
표시된 버전이 3.9.7 이상이면 안전하고, 그 이하이면 취약함
npm list mysql2 2>/dev/null | grep mysql2 | awk '{print $2}'