🇰🇷 한글 설명
Node.js의 messageformat 패키지 3.0.2 이전 버전에 프로토타입 오염 취약점이 존재합니다. 메시지 데이터 처리 중 중첩된 메시지 키에 대한 검증 부족으로 공격자가 특별히 조작된 입력을 통해 JavaScript 객체의 프로토타입 체인을 조작할 수 있습니다. 이는 Object.prototype에 임의 속성을 주입하여 서비스 거부 또는 예상치 못한 애플리케이션 동작을 유발합니다.
💡 쉬운 설명
messageformat 라이브러리에서 공격자가 특별한 데이터를 보내 모든 JavaScript 객체의 기본 설정을 변경할 수 있는 문제입니다. 이로 인해 애플리케이션이 비정상 작동하거나 멈출 수 있습니다.
🇺🇸 원문 (English)
The Runtime components of messageformat package for Node.js before 3.0.2 contain a prototype pollution vulnerability. Due to insufficient validation of nested message keys during the processing of message data, an attacker can manipulate the prototype chain of JavaScript objects by providing specially crafted input. This can result in the injection of arbitrary properties into the Object.prototype, potentially leading to denial of service conditions or unexpected application behavior. The vulnerability allows attackers to alter the prototype of base objects, impacting all subsequent object instances throughout the application's lifecycle.
📍 영향받는 시스템
messageformat for Node.js < 3.0.2
⚔️ 공격 벡터
특별히 조작된 중첩 메시지 키를 포함한 입력 데이터 제공
🛡️ 대응 방법
messageformat 패키지를 3.0.2 이상 버전으로 업그레이드
🔧 검증 코드
패키지 버전이 3.0.2 미만(0.x 또는 1.x 또는 2.x)으로 출력되면 취약한 상태이며, 버전 3.0.2 이상이 표시되거나 아무것도 출력되지 않으면 안전한 상태입니다.
npm list messageformat 2>/dev/null | grep -E 'messageformat@[0-2]\.'