🇰🇷 한글 설명
Lightning Flow Scanner의 버전 6.10.5 이하에서 APIVersion 규칙이 new Function()을 사용하여 표현식을 평가하기 때문에, 악의적으로 조작된 Salesforce flow metadata 파일을 통해 임의의 JavaScript 코드가 스캔 중에 실행될 수 있습니다. 이는 개발자 머신, CI/CD 러너, 편집기 환경의 보안을 심각하게 위협하며 버전 6.10.6에서 수정되었습니다.
💡 쉬운 설명
Salesforce 분석 도구가 불안전한 방식으로 파일을 검사하여, 악의적인 파일을 열면 해커의 코드가 자동 실행됩니다. 개발자의 컴퓨터나 자동화 시스템이 손상되거나 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Lightning Flow Scanner provides a A CLI plugin, VS Code Extension and GitHub Action for analysis and optimization of Salesforce Flows. Versions 6.10.5 and below allow a maliciously crafted flow metadata file to cause arbitrary JavaScript execution during scanning. The APIVersion rule uses new Function() to evaluate expression strings, enabling an attacker to supply a malicious expression within rule configuration or crafted flow metadata. This could compromise developer machines, CI runners, or editor environments. This issue is fixed in version 6.10.6.
📍 영향받는 시스템
Lightning Flow Scanner v6.10.5 이하 (CLI, VS Code Extension, GitHub Action)
⚔️ 공격 벡터
악의적으로 조작된 Salesforce flow metadata 파일을 스캔 대상으로 제공하여 rule 설정 또는 metadata의 표현식 평가 시 임의 JavaScript 코드 실행
🛡️ 대응 방법
Lightning Flow Scanner를 v6.10.6 이상으로 즉시 업그레이드
🔧 검증 코드
설치된 lightning-flow-scanner 버전을 확인하여 6.10.6 미만이면 취약하고, 6.10.6 이상이면 패치된 상태입니다.
npm list -g 2>/dev/null | grep -i lightning-flow || npm list lightning-flow-scanner 2>/dev/null | grep -i version