🇰🇷 한글 설명
TUUI의 Markdown 렌더링 컴포넌트 내 안전하지 않은 XSS 취약점으로 인해 원격 코드 실행(RCE)이 가능합니다. 공격자가 ECharts 코드 블록을 통해 임의의 JavaScript를 실행하고, 노출된 IPC 인터페이스를 이용해 시스템 명령어를 실행할 수 있습니다. 이 문제는 1.3.4 버전에서 수정되었습니다.
💡 쉬운 설명
사용자가 악성 마크다운 메시지를 보기만 해도 해커가 컴퓨터를 마음대로 조종할 수 있는 위험한 보안 결함입니다. 채팅창에 특수하게 제작된 코드가 포함된 메시지가 전달되면 자동으로 해킹이 이루어집니다.
🇺🇸 원문 (English)
TUUI is a desktop MCP client designed as a tool unitary utility integration. Prior to 1.3.4, a critical Remote Code Execution (RCE) vulnerability exists in Tuui due to an unsafe Cross-Site Scripting (XSS) flaw in the Markdown rendering component. Tuui allows the execution of arbitrary JavaScript within ECharts code blocks. Combined with an exposed IPC interface that allows spawning processes, an attacker can execute arbitrary system commands on the victim's machine simply by having them view a malicious Markdown message. This vulnerability is fixed in 1.3.4.
📍 영향받는 시스템
TUUI 1.3.4 미만 모든 버전
⚔️ 공격 벡터
악성 마크다운 메시지를 통한 XSS 및 IPC 인터페이스를 이용한 시스템 명령어 실행
🛡️ 대응 방법
TUUI를 최신 버전인 1.3.4 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.3.4 미만이면 취약한 상태이며, 1.3.4 이상이거나 버전이 확인되지 않으면 안전할 가능성이 높습니다.
tuui --version 2>/dev/null | grep -E '1\.[0-3]\.[0-4]' || echo 'Version not found or safe'