🇰🇷 한글 설명
evershop 2.1.0 이하 버전에는 인증되지 않은 공격자가 "GET /images" API를 통해 애플리케이션 서버의 리소스를 고갈시킬 수 있는 서비스 거부(DoS) 취약점이 존재합니다. 애플리케이션이 SVG 파일 처리 시 use 요소 shadow tree의 높이와 pattern 타일의 크기를 제한하지 않아 리소스 사용이 무제한으로 증가하며, 이로 인해 시스템 전체가 서비스 불능 상태에 빠질 수 있습니다.
💡 쉬운 설명
누구나 로그인 없이 특정 이미지 요청을 보내 서버의 자원을 과도하게 사용하게 만들 수 있습니다. 그 결과 서버가 느려지거나 다른 사용자들이 서비스를 이용하지 못하게 됩니다.
🇺🇸 원문 (English)
A Denial of Service (DoS) vulnerability in evershop 2.1.0 and prior allows unauthenticated attackers to exhaust the application server's resources via the "GET /images" API. The application fails to limit the height of the use-element shadow tree or the dimensions of pattern tiles during the processing of SVG files, resulting in unbounded resource consumption and system-wide denial of service.
📍 영향받는 시스템
evershop 2.1.0 이하 버전
⚔️ 공격 벡터
인증 없이 악성 SVG 이미지가 포함된 GET /images 요청을 반복 전송하여 서버 리소스를 고갈시킴
🛡️ 대응 방법
evershop을 2.1.0 초과 최신 버전으로 업그레이드하고, SVG 처리 시 요소 깊이 및 패턴 크기 제한을 적용
🔧 검증 코드
출력된 버전이 2.1.0 이하이면 취약하므로 2.1.0 초과 버전으로 업그레이드가 필요하며, 아무것도 출력되지 않으면 해당 디렉터리에 설치되지 않은 것입니다.
npm list evershop 2>/dev/null | grep evershop