🇰🇷 한글 설명
git-commiters Node.js 모듈 0.1.2 미만 버전에서 발생하는 커맨드 인젝션 취약점입니다. gitCommiters API의 options 매개변수 중 cwd나 revisionRange 값이 적절히 검증되지 않아, 사용자 입력이 시스템 명령어로 직접 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 사용자가 입력한 값을 검사하지 않고 컴퓨터 명령어로 바로 실행해버리는 보안 약점입니다. 해커가 악의적인 명령어를 입력하면 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
git-commiters is a Node.js function module providing committers stats for their git repository. Prior to version 0.1.2, there is a command injection vulnerability in git-commiters. This vulnerability manifests with the library's primary exported API: gitCommiters(options, callback) which allows specifying options such as cwd for current working directory and revisionRange as a revision pointer, such as HEAD. However, the library does not sanitize for user input or practice secure process execution API to separate commands from their arguments and as such, uncontrolled user input is concatenated into command execution. This issue has been patched in version 0.1.2.
📍 영향받는 시스템
git-commiters Node.js 모듈 0.1.2 미만 버전
⚔️ 공격 벡터
gitCommiters 함수 호출 시 options 인자에 악의적인 셸 명령어를 삽입하여 실행
🛡️ 대응 방법
git-commiters 라이브러리를 최신 버전인 0.1.2 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 git-commiters의 버전이 0.1.2 미만인지 확인