🇰🇷 한글 설명
GitForge.jl 라이브러리의 GitHub.repo() 함수에서 사용자 입력값에 대한 검증이 부족하여, 경로 탐색(path traversal) 공격에 취약합니다. 공격자는 '../' 패턴을 통해 의도하지 않은 api.github.com의 다른 엔드포인트에 접근할 수 있습니다.
💡 쉬운 설명
GitForge.jl 라이브러리가 저장소 이름 입력값을 제대로 검증하지 않아, 특수한 경로 문자를 이용해 다른 API 기능에 무단으로 접근할 수 있습니다. 즉시 5.9.1 이상으로 업그레이드하세요.
🇺🇸 원문 (English)
GitForge.jl is a unified interface for interacting with Git "forges." Versions prior to 5.9.1 lack input validation of input validation for user-provided values in certain functions. In the `GitHub.repo()` function, the user can provide any string for the `repo_name` field. These inputs are not validated or safely encoded and are sent directly to the server. This means a user can add path traversal patterns like `../` in the input to access any other endpoints on `api.github.com` that were not intended. Users should upgrade immediately to v5.9.1 or later to receive a patch. All prior versions are vulnerable. No known workarounds are available.
📍 영향받는 시스템
GitForge.jl 5.9.1 이전의 모든 버전
⚔️ 공격 벡터
repo_name 파라미터에 '../' 경로 탐색 패턴 입력으로 인가되지 않은 api.github.com 엔드포인트 접근
🛡️ 대응 방법
GitForge.jl을 버전 5.9.1 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 5.9.1 이상이면 안전, 그 이하 또는 미설치면 업그레이드 필요
julia -e "import Pkg; pkg = Pkg.dependencies(); haskey(pkg, \"GitForge\") && println(pkg[\"GitForge\"].version)" 2>/dev/null