🇰🇷 한글 설명
Vue I18n의 handleFlatJson 함수에서 프로토타입 오염(Prototype Pollution) 취약점이 발견되었습니다. 공격자는 Object.prototype 속성을 포함한 악의적인 JSON 페이로드를 제공하여 전역 프로토타입 체인을 오염시킬 수 있으며, 최소한 서비스 거부(DoS) 공격이 가능하고 악의적인 명령 실행으로 확대될 수 있습니다.
💡 쉬운 설명
Vue I18n 라이브러리가 데이터를 처리할 때 공격자의 악의적인 입력을 충분히 검증하지 않아서, 공격자가 애플리케이션 내부 설정을 변조할 수 있습니다. 이를 통해 애플리케이션을 마비시키거나 임의의 명령을 실행하게 만들 수 있습니다.
🇺🇸 원문 (English)
Vue I18n is the internationalization plugin for Vue.js. @intlify/message-resolver and @intlify/vue-i18n-core are vulnerable to Prototype Pollution through the entry function: handleFlatJson. An attacker can supply a payload with Object.prototype setter to introduce or modify properties within the global prototype chain, causing denial of service (DoS) a the minimum consequence. Moreover, the consequences of this vulnerability can escalate to other injection-based attacks, depending on how the library integrates within the application. For instance, if the polluted property propagates to sensitive Node.js APIs (e.g., exec, eval), it could enable an attacker to execute arbitrary commands within the application's context.
📍 영향받는 시스템
@intlify/message-resolver, @intlify/vue-i18n-core (구체적 버전 미공시)
⚔️ 공격 벡터
handleFlatJson 함수에 Object.prototype 세터가 포함된 JSON 페이로드 입력
🛡️ 대응 방법
@intlify/message-resolver 및 @intlify/vue-i18n-core를 최신 패치 버전으로 업데이트
🔧 검증 코드
명령어 실행 후 패키지가 설치되어 있으면 버전을 확인하고, 취약점 공시 이전 버전이면 업데이트가 필요합니다.
npm list @intlify/vue-i18n-core @intlify/message-resolver 2>/dev/null | grep -E '@intlify/(vue-i18n-core|message-resolver)@'