🇰🇷 한글 설명
sequa-ai sequa-mcp 1.0.13 이하 버전의 OAuth Server Discovery 구성 요소 내 redirectToAuthorization 함수에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 조작된 URL을 사용하면 원격에서 명령을 실행할 수 있으며, 현재 익스플로잇이 공개된 상태입니다. 버전 1.0.14로 업그레이드하여 이 문제를 해결할 수 있습니다.
💡 쉬운 설명
해커가 조작된 웹 주소를 보내 시스템에 몰래 명령을 내릴 수 있는 보안 구멍이 발견되었습니다. 이 문제를 막으려면 프로그램을 최신 버전인 1.0.14 이상으로 업데이트해야 합니다.
🇺🇸 원문 (English)
A vulnerability was detected in sequa-ai sequa-mcp up to 1.0.13. This affects the function redirectToAuthorization of the file src/helpers/node-oauth-client-provider.ts of the component OAuth Server Discovery. Performing manipulation results in os command injection. Remote exploitation of the attack is possible. The exploit is now public and may be used. Upgrading to version 1.0.14 is able to mitigate this issue. The patch is named e569815854166db5f71c2e722408f8957fb9e804. It is recommended to upgrade the affected component. The vendor explains: "We only promote that mcp server with our own URLs that have a valid response, but yes if someone would use it with a non sequa url, this is a valid attack vector. We have released a new version (1.0.14) that fixes this and validates that only URLs can be opened."
📍 영향받는 시스템
sequa-ai sequa-mcp version 1.0.13 and below
⚔️ 공격 벡터
조작된 URL을 이용한 원격 OS 명령 주입 (Remote OS Command Injection)
🛡️ 대응 방법
sequa-mcp를 버전 1.0.14 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 1.0.14 미만이면 취약한 상태입니다.
npm list sequa-mcp 2>/dev/null | grep -E 'sequa-mcp@'