🇰🇷 한글 설명
@vitejs/plugin-rs 0.5.5 이하 버전에서 RSC 지원 기능 중 서버 함수 API를 통한 임의 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자는 개발 서버에 네트워크로 접근하여 파일을 읽거나 수정하고, 소스 코드 및 환경 변수와 같은 민감한 데이터를 탈취할 수 있습니다. 이 문제는 0.5.6 버전에서 해결되었습니다.
💡 쉬운 설명
개발용 서버 프로그램의 보안 허점을 이용해 해커가 내 컴퓨터의 파일을 훔쳐보거나 마음대로 조종할 수 있는 위험한 문제입니다. 특히 개발 서버를 외부 네트워크에 공개해 두었을 때 공격받을 가능성이 매우 높습니다.
🇺🇸 원문 (English)
@vitejs/plugin-rs provides React Server Components (RSC) support for Vite. Versions 0.5.5 and below are vulnerable to arbitrary remote code execution on the development server through unsafe dynamic imports in server function APIs (loadServerAction, decodeReply, decodeAction) when integrated into RSC applications that expose server function endpoints. Attackers with network access to the development server can read/modify files, exfiltrate sensitive data (source code, environment variables, credentials), or pivot to other internal services. While this affects development servers only, the risk increases when using vite --host to expose the server on all network interfaces. This issue is fixed in version 0.5.6.
📍 영향받는 시스템
@vitejs/plugin-rs 0.5.5 및 그 이하 모든 버전
⚔️ 공격 벡터
네트워크를 통해 개발 서버의 서버 함수 API(loadServerAction 등)에 안전하지 않은 동적 임포트 요청을 전송
🛡️ 대응 방법
@vitejs/plugin-rs를 최신 버전인 0.5.6 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.5.6 미만(예: 0.5.5)이면 취약한 상태입니다.
npm list @vitejs/plugin-rs 2>/dev/null | grep '@vitejs/plugin-rs@'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server