🇰🇷 한글 설명
Obsidian GitHub Copilot 플러그인 1.1.7 이전 버전에서 GitHub API 토큰을 평문으로 저장하는 보안 취약점입니다. 공격자가 저장된 토큰에 접근하면 연결된 GitHub 계정으로 무단 작업을 수행할 수 있습니다.
💡 쉬운 설명
Obsidian 플러그인이 GitHub 비밀번호를 누구나 볼 수 있는 방식으로 저장합니다. 악의적인 사용자가 이를 훔쳐서 당신의 GitHub 계정을 조작할 수 있습니다.
🇺🇸 원문 (English)
Obsidian GitHub Copilot Plugin versions prior to 1.1.7 store Github API token in cleartext form. As a result, an attacker may perform unauthorized operations on the linked Github account.
📍 영향받는 시스템
Obsidian GitHub Copilot Plugin 버전 1.1.7 미만
⚔️ 공격 벡터
로컬 파일 시스템 접근 권한을 가진 공격자가 플러그인 설정 디렉토리에서 평문 토큰 추출
🛡️ 대응 방법
Obsidian GitHub Copilot Plugin을 1.1.7 이상으로 업그레이드하고 GitHub Personal Access Token 재발급
🔧 검증 코드
출력된 버전이 1.1.7 이상이면 패치된 상태이고, 1.1.7 미만이면 업그레이드 필요합니다.
find ~/.obsidian/plugins -name 'manifest.json' -path '*copilot*' 2>/dev/null | xargs grep -h '"version"' | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'