🇰🇷 한글 설명
@std/toml 라이브러리 1.0.9 버전 미만에서 신뢰하지 않는 TOML 데이터를 파싱할 때 프로토타입 체인 오염(Prototype Pollution) 취약점이 존재합니다. Node.js와 브라우저 환경에서 공격자가 악의적인 TOML 파일을 통해 프로토타입 체인을 오염시켜 예상치 못한 동작을 유발할 수 있습니다.
💡 쉬운 설명
@std/toml 라이브러리가 신뢰하지 않는 TOML 파일을 처리할 때 악의적 데이터로 프로그램의 기본 객체 구조를 손상시킬 수 있습니다. 이로 인해 보안 우회, 데이터 변조, 또는 코드 실행이 가능해질 수 있습니다.
🇺🇸 원문 (English)
@std/toml is the Deno Standard Library. Prior to version 1.0.9, an attacker can pollute the prototype chain in Node.js runtime and Browser when parsing untrusted TOML data, thus achieving Prototype Pollution (PP) vulnerability. This is because the library is merging an untrusted object with an empty object, which by default the empty object has the prototype chain. This issue has been patched in version 1.0.9.
📍 영향받는 시스템
@std/toml 1.0.9 버전 미만 (Deno Standard Library, Node.js 및 Browser 런타임)
⚔️ 공격 벡터
공격자가 특별히 조작한 TOML 파일을 애플리케이션에 제공하여 Object.prototype을 오염시키는 방식
🛡️ 대응 방법
@std/toml 라이브러리를 1.0.9 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 1.0.9 이상이면 패치됨, 1.0.8 이하면 취약함 (버전이 없으면 설치되지 않은 상태)
grep -E '"@std/toml"|std/toml' package.json deno.json 2>/dev/null | grep -oP '\d+\.\d+\.\d+' | head -1