🇰🇷 한글 설명
Dot 데스크톱 애플리케이션 0.9.3 이하 버전에서 render.js의 innerHTML 함수로 사용자 입력 및 LLM 출력이 DOM에 직접 삽입되어 XSS 취약점이 발생합니다. Electron 애플리케이션이 Node.js API에 접근 가능하므로 XSS를 통해 원격 명령 실행으로 확대될 수 있습니다.
💡 쉬운 설명
Dot 애플리케이션에서 입력한 텍스트가 안전하게 처리되지 않아 악성 코드를 주입할 수 있습니다. 이를 통해 공격자가 사용자의 컴퓨터에서 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
The desktop application in Dot through 0.9.3 allows XSS and resultant command execution because user input and LLM output are appended to the DOM with innerHTML (in render.js), and because the Electron window can access Node.js APIs.
📍 영향받는 시스템
Dot 데스크톱 애플리케이션 v0.9.3 이하
⚔️ 공격 벡터
사용자가 악성 스크립트를 포함한 텍스트를 입력하거나 LLM 응답으로 전달되는 스크립트를 통한 XSS 공격으로 Node.js 명령 실행
🛡️ 대응 방법
Dot을 최신 버전(0.9.4 이상)으로 업그레이드하거나 제거하고, render.js에서 textContent 또는 안전한 DOM 메소드 사용으로 수정
🔧 검증 코드
Dot 패키지 설치 여부 및 버전 확인. 0.9.3 이하면 취약하며, 미설치시 해당 애플리케이션 없음
npm list dot 2>/dev/null | grep -E 'dot@[0-9]' || find ~ -name 'Dot' -type d 2>/dev/null | head -1