🇰🇷 한글 설명
Node.js용 EJS(Embedded JavaScript templates) 패키지 3.1.10 이전 버전에서 프로토타입 오염(prototype pollution) 취약점이 발견되었습니다. 공격자는 악의적인 입력을 통해 JavaScript 객체의 프로토타입을 변조하여 애플리케이션의 동작을 제어할 수 있습니다.
💡 쉬운 설명
EJS는 Node.js 웹사이트에서 동적 HTML 페이지를 생성하는 데 사용되는 도구입니다. 이 버그는 공격자가 특정 입력을 통해 애플리케이션의 기본 기능을 변조할 수 있도록 허용합니다.
🇺🇸 원문 (English)
The ejs (aka Embedded JavaScript templates) package before 3.1.10 for Node.js lacks certain pollution protection.
📍 영향받는 시스템
EJS 패키지 버전 3.1.10 미만 (Node.js 환경)
⚔️ 공격 벡터
사용자 입력 또는 외부 데이터를 EJS 템플릿 옵션으로 전달하여 프로토타입 오염 트리거
🛡️ 대응 방법
npm install ejs@latest 또는 npm update ejs를 실행하여 3.1.10 이상 버전으로 업그레이드
🔧 검증 코드
표시되는 EJS 버전이 3.1.10 이상이면 안전하고 3.1.10 미만이면 즉시 업그레이드 필요
npm list ejs 2>/dev/null | grep -E 'ejs@[0-9]'