🇰🇷 한글 설명
GitForge.jl의 GitHub get_repo 함수에서 사용자 입력값을 검증하지 않아 경로 탐색(path traversal) 공격이 가능합니다. owner와 repo 필드에 ../와 같은 패턴을 입력하면 의도하지 않은 api.github.com 엔드포인트에 접근할 수 있습니다. 0.4.3 버전부터 수정되었습니다.
💡 쉬운 설명
GitForge.jl의 GitHub 연결 기능이 사용자 입력을 제대로 검사하지 않아, 폴더 경로를 조작해 다른 서버 데이터에 접근할 수 있습니다. 0.4.3 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
GitForge.jl is a unified interface for interacting with Git "forges." Versions prior to 0.4.3 lack input validation for user provided values in certain functions. In the `GitForge.get_repo` function for GitHub, the user can provide any string for the owner and repo fields. These inputs are not validated or safely encoded and are sent directly to the server. This means a user can add path traversal patterns like `../` in the input to access any other endpoints on api.github.com that were not intended. Version 0.4.3 contains a patch for the issue. No known workarounds are available.
📍 영향받는 시스템
GitForge.jl < 0.4.3
⚔️ 공격 벡터
get_repo 함수의 owner/repo 매개변수에 ../ 패턴을 입력하여 경로 탐색 수행
🛡️ 대응 방법
GitForge.jl을 0.4.3 버전 이상으로 업그레이드
🔧 검증 코드
출력 버전이 v0.4.3 이상이면 안전, 그 이하면 업그레이드 필요
julia -e 'import Pkg; Pkg.status("GitForge")' 2>/dev/null | grep -oE 'v[0-9]+\.[0-9]+\.[0-9]+'