🇰🇷 한글 설명
ggit 패키지의 fetchTags(branch) API가 사용자 입력을 검증 없이 git 명령어와 문자열 연결합니다. 이를 통해 공격자가 Node.js의 unsafe exec() 함수를 거쳐 임의의 명령어를 시스템에서 실행할 수 있습니다. 모든 버전이 영향을 받습니다.
💡 쉬운 설명
ggit 라이브러리에 버그가 있어서 사용자가 입력한 텍스트가 시스템 명령어로 실행될 수 있습니다. 해커는 이를 악용해서 컴퓨터를 원격으로 제어할 수 있습니다.
🇺🇸 원문 (English)
All versions of the package ggit are vulnerable to Command Injection via the fetchTags(branch) API, which allows user input to specify the branch to be fetched and then concatenates this string along with a git command which is then passed to the unsafe exec() Node.js child process API.
📍 영향받는 시스템
ggit 패키지 모든 버전
⚔️ 공격 벡터
fetchTags() API의 branch 파라미터에 명령어 주입 페이로드 입력
🛡️ 대응 방법
ggit 패키지를 보안 패치가 적용된 최신 버전으로 업데이트 또는 패키지 제거
🔧 검증 코드
설치된 ggit 패키지의 버전을 확인합니다. 패키지가 나타나면 보안 업데이트가 필요합니다.
npm list ggit 2>/dev/null | grep ggit