🇰🇷 한글 설명
ppt2png 0.0.6 이하 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 검증되지 않은 입력값이나 출력 경로 인자에 셸 메타문자를 삽입하여 Node.js 프로세스 권한으로 임의의 운영체제 명령을 실행할 수 있습니다.
💡 쉬운 설명
파일 이름을 입력할 때 특수 문자를 섞어 넣으면 해커가 컴퓨터에 몰래 명령을 내릴 수 있는 보안 구멍입니다. 이를 통해 해커가 사용자의 컴퓨터를 마음대로 조종할 위험이 있습니다.
🇺🇸 원문 (English)
ppt2png through 0.0.6 contains an OS command injection vulnerability that allows attackers to execute operating system commands by supplying unsanitized input or output path arguments. Attackers can append shell metacharacters such as ';' to file names passed to child_process.exec() in ppt2png.js, running commands with Node.js process privileges.
📍 영향받는 시스템
ppt2png 0.0.6 이하 모든 버전
⚔️ 공격 벡터
파일 이름이나 경로 인자에 ';'와 같은 셸 메타문자를 포함하여 child_process.exec() 함수를 호출하는 방식
🛡️ 대응 방법
ppt2png를 최신 버전으로 업데이트하거나, 입력값에 대한 엄격한 필터링 및 child_process.exec 대신 child_process.execFile 사용 권장
🔧 검증 코드
출력된 결과에서 ppt2png의 버전이 0.0.6 이하인지 확인합니다.