🇰🇷 한글 설명
@enmaso/node-convert 1.0.0 버전의 convert.js 파일에서 OS 명령 주입 취약점이 발견되었습니다. 공격자는 검증되지 않은 filepath 및 convertTo 인자를 통해 ImageMagick 명령에 쉘 메타문자나 작은따옴표를 삽입하여 Node.js 프로세스 권한으로 운영체제 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 파일 이름을 처리할 때 보안 검사를 제대로 하지 않아 발생하는 문제입니다. 해커가 파일 이름에 악성 명령어를 섞어 넣으면 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
@enmaso/node-convert through 1.0.0 contains an OS command injection vulnerability in convert.js that allows attackers to execute shell commands via unsanitized filepath and convertTo arguments. Attackers can inject shell metacharacters or a single quote into the ImageMagick command run by child_process.exec() to execute operating system commands with Node.js process privileges.
📍 영향받는 시스템
@enmaso/node-convert 1.0.0 이하 버전
⚔️ 공격 벡터
검증되지 않은 filepath 또는 convertTo 인자에 쉘 메타문자를 삽입하여 child_process.exec()를 통한 명령 실행
🛡️ 대응 방법
해당 패키지를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력값에 대한 엄격한 화이트리스트 검증 로직을 구현하십시오.
🔧 검증 코드
출력된 결과에서 @enmaso/node-convert의 버전이 1.0.0 이하인지 확인하십시오.
npm list @enmaso/node-convert