🇰🇷 한글 설명
@intlify/shared의 lib.deepCopy 함수에서 Prototype Pollution 취약점이 발견되었습니다. 공격자가 Object.prototype setter를 통해 전역 프로토타입 체인에 속성을 주입하여 서비스 거부(DoS) 공격을 일으킬 수 있으며, exec, eval 등 민감한 API와 연계되면 임의 명령 실행까지 가능합니다. 버전 9.14.2 및 10.0.5 이상으로 업그레이드하면 해결됩니다.
💡 쉬운 설명
@intlify/shared 라이브러리의 데이터 복사 기능에 보안 결함이 있어 공격자가 애플리케이션의 기본 설정을 조작할 수 있습니다. 이를 악용하면 앱을 마비시키거나 악의적인 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
@intlify/shared is a shared library for the intlify project. The latest version of @intlify/shared (10.0.4) is vulnerable to Prototype Pollution through the entry function(s) lib.deepCopy. An attacker can supply a payload with Object.prototype setter to introduce or modify properties within the global prototype chain, causing denial of service (DoS) as the minimum consequence. Moreover, the consequences of this vulnerability can escalate to other injection-based attacks, depending on how the library integrates within the application. For instance, if the polluted property propagates to sensitive Node.js APIs (e.g., exec, eval), it could enable an attacker to execute arbitrary commands within the application's context. This issue has been addressed in versions 9.14.2, and 10.0.5. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
@intlify/shared 버전 10.0.4 이하 및 9.14.2 미만 모든 버전
⚔️ 공격 벡터
Object.prototype setter를 활용한 Prototype Pollution 페이로드 전송으로 전역 프로토타입 체인 오염
🛡️ 대응 방법
@intlify/shared를 9.14.2 또는 10.0.5 이상 버전으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 9.14.2 또는 10.0.5 이상이면 안전하며, 10.0.4 이하이거나 9.14.2 미만이면 취약한 상태입니다.
npm list @intlify/shared 2>/dev/null | grep @intlify/shared