🇰🇷 한글 설명
giscus의 discussions 생성 API에서 인증 검증이 부족하여 미인증 사용자가 giscus가 설치된 모든 저장소에 discussions을 생성할 수 있습니다. 이는 http://giscus.app 또는 자체 호스팅 서비스를 통해 악의적으로 악용될 수 있으며, 특정 커밋으로 수정되었습니다.
💡 쉬운 설명
giscus는 웹사이트에 댓글을 달 수 있게 해주는 시스템인데, 보안 확인을 제대로 하지 않아서 누구나 무단으로 댓글 섹션을 만들 수 있습니다. 이를 악용하면 스팸이나 악의적인 내용을 게시할 수 있습니다.
🇺🇸 원문 (English)
giscus is a commenting system powered by GitHub Discussions. A bug in giscus' discussions creation API allowed an unauthorized user to create discussions on any repository where giscus is installed. This affects the server-side part of giscus, which is provided via http://giscus.app or your own self-hosted service. This vulnerability is fixed by the c43af7806e65adfcf4d0feeebef76dc36c95cb9a and 4b9745fe1a326ce08d69f8a388331bc993d19389 commits.
📍 영향받는 시스템
giscus 서비스 (http://giscus.app 및 자체 호스팅 버전)
⚔️ 공격 벡터
미인증 사용자가 giscus discussions 생성 API를 직접 호출하여 관리자 승인 없이 discussions 생성
🛡️ 대응 방법
giscus를 최신 버전으로 업그레이드하거나 c43af78/4b9745f 커밋 이후의 버전으로 업데이트
🔧 검증 코드
설치된 giscus의 버전을 확인하여 최신 패치 버전 여부를 판단합니다.
npm ls giscus 2>/dev/null || grep giscus package.json 2>/dev/null