🇰🇷 한글 설명
Node.js 메일젠 패키지의 plaintext 이메일 생성 함수에서 HTML 주입 취약점이 존재합니다. 사용자가 제공한 콘텐츠를 충분히 검증하지 않아 악의적인 HTML 코드가 실행될 수 있습니다. 버전 2.0.30에서 패치되었으며, HTML 태그를 사전에 제거하면 완화할 수 있습니다.
💡 쉬운 설명
이메일 생성 프로그램이 사용자 입력의 HTML 코드를 그대로 처리하여 공격자가 악의적인 코드를 실행할 수 있습니다. 프로그램을 최신 버전으로 업데이트하거나 입력값을 미리 정제해야 합니다.
🇺🇸 원문 (English)
mailgen is a Node.js package that generates responsive HTML e-mails for sending transactional mail. Prior to version 2.0.30, there is an HTML injection vulnerability in plaintext e-mails generated by Mailgen. Projects are affected if the Mailgen.generatePlaintext(email) method is used and given user-generated content. This vulnerability has been patched in version 2.0.30. A workaround involves stripping all HTML tags before passing any content into Mailgen.generatePlaintext(email).
📍 영향받는 시스템
Node.js mailgen 패키지 < 2.0.30
⚔️ 공격 벡터
generatePlaintext() 메서드에 HTML 태그가 포함된 사용자 입력 전달을 통한 HTML 주입
🛡️ 대응 방법
mailgen을 2.0.30 이상으로 업그레이드하거나 모든 사용자 입력에서 HTML 태그 제거
🔧 검증 코드
출력된 버전이 2.0.30 이상이면 패치 적용 완료, 미만이면 업그레이드 필요
npm list mailgen 2>/dev/null | grep mailgen