🇰🇷 한글 설명
Vuetify의 Preset 설정 기능 내 'mergeDeep' 유틸리티 함수에서 프로토타입 오염(Prototype Pollution) 취약점이 발견되었습니다. 악의적으로 조작된 프리셋을 사용하면 모든 JavaScript 객체에 임의의 속성을 주입할 수 있으며, 이는 서비스 거부(DoS)나 권한 없는 데이터 접근으로 이어질 수 있습니다. 특히 SSR(서버 사이드 렌더링) 환경에서는 서버 프로세스 전체에 영향을 미칠 수 있습니다.
💡 쉬운 설명
프로그램의 기본 설계도를 몰래 수정하여 시스템 전체를 혼란에 빠뜨릴 수 있는 보안 약점입니다. 이를 통해 웹사이트를 멈추게 하거나 허가되지 않은 정보에 접근하는 등의 공격이 가능합니다.
🇺🇸 원문 (English)
The Preset configuration https://v2.vuetifyjs.com/en/features/presets feature of Vuetify is vulnerable to Prototype Pollution https://cheatsheetseries.owasp.org/cheatsheets/Prototype_Pollution_Prevention_Cheat_Sheet.html due to the internal 'mergeDeep' utility function used to merge options with defaults. Using a specially-crafted, malicious preset can result in polluting all JavaScript objects with arbitrary properties, which can further negatively affect all aspects of the application's behavior. This can lead to a wide range of security issues, including resource exhaustion/denial of service or unauthorized access to data.
If the application utilizes Server-Side Rendering (SSR), this vulnerability could affect the whole server process.
This issue affects Vuetify versions greater than or equal to 2.2.0-beta.2 and less than 3.0.0-alpha.10.
Note:
Version 2.x of Vuetify is End-of-Life and will not receive any updates to address this issue. For more information see here https://v2.vuetifyjs.com/en/about/eol/ .
📍 영향받는 시스템
Vuetify 버전 2.2.0-beta.2 이상 ~ 3.0.0-alpha.10 미만
⚔️ 공격 벡터
악의적으로 조작된 프리셋 설정을 통해 JavaScript 객체의 프로토타입을 오염시키는 방식
🛡️ 대응 방법
Vuetify 3.0.0-alpha.10 이상의 최신 버전으로 업그레이드하거나, 지원이 종료된 2.x 버전의 경우 코드 레벨에서 mergeDeep 로직을 직접 수정해야 합니다.
🔧 검증 코드
출력된 버전이 2.2.0-beta.2 이상 3.0.0-alpha.10 미만 범위에 해당하면 취약한 상태입니다.
npm list vuetify | grep vuetify
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server