🇰🇷 한글 설명
dagre-d3-es Node.js 패키지 7.0.9 버전의 'bk' 모듈 내 addConflict 함수에서 사용자 입력값에 대한 적절한 검증이 이루어지지 않는 취약점이 발견되었습니다. 공격자는 이를 통해 프로토타입 오염(Prototype Pollution)을 유발하여 자바스크립트 객체의 프로토타입 체인을 변조할 수 있으며, 이는 서비스 거부(DoS)나 임의 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
프로그램의 기본 설계도를 몰래 수정하여 시스템을 고장 내거나 해커가 원하는 명령을 실행하게 만드는 취약점입니다. 악의적인 데이터를 입력해 프로그램의 동작 방식을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
A vulnerability exists in the 'dagre-d3-es' Node.js package version 7.0.9, specifically within the 'bk' module's addConflict function, which fails to properly sanitize user-supplied input during property assignment operations. This flaw allows attackers to exploit prototype pollution vulnerabilities by injecting malicious input values (e.g., "__proto__"), enabling unauthorized modification of the JavaScript Object prototype chain. Successful exploitation could lead to denial of service conditions, unexpected application behavior, or potential execution of arbitrary code in contexts where polluted properties are later accessed or executed. The issue affects versions prior to 7.0.11 and remains unpatched at the time of disclosure.
📍 영향받는 시스템
dagre-d3-es Node.js 패키지 7.0.11 미만 버전
⚔️ 공격 벡터
addConflict 함수에 '__proto__'와 같은 특수 키를 포함한 악의적인 입력값을 주입하여 프로토타입 체인을 오염시킴
🛡️ 대응 방법
dagre-d3-es 패키지를 최신 보안 패치가 적용된 7.0.11 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 7.0.11보다 낮으면 취약한 상태입니다.
npm list dagre-d3-es 2>/dev/null | grep -E 'dagre-d3-es@([0-7]\.[0-9]\.[0-9])'