🇰🇷 한글 설명
webp-converter 3.0.0 미만 버전의 src/webpconverter.js 헬퍼 함수에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 파일 이름이나 옵션 문자열을 조작하여 libwebp 바이너리를 실행할 때 쉘 메타문자를 삽입함으로써 Node.js 프로세스 권한으로 OS 명령을 실행할 수 있습니다.
💡 쉬운 설명
이미지 변환 프로그램이 파일 이름을 처리할 때 보안 검사를 제대로 하지 않아 발생하는 문제입니다. 나쁜 의도를 가진 파일 이름을 사용하면 해커가 컴퓨터에 몰래 명령을 내려 제어권을 뺏을 수 있습니다.
🇺🇸 원문 (English)
webp-converter before 3.0.0 contains an OS command injection vulnerability in src/webpconverter.js helpers that run libwebp binaries via execFile with shell enabled. Attackers controlling file names or option strings passed to cwebp, dwebp, gwebp, or webpmux functions can inject shell metacharacters to execute OS commands as the Node.js process.
📍 영향받는 시스템
webp-converter version < 3.0.0
⚔️ 공격 벡터
조작된 파일 이름 또는 옵션 문자열을 통한 OS 명령 주입 (OS Command Injection)
🛡️ 대응 방법
webp-converter를 3.0.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 webp-converter의 버전이 3.0.0 미만인지 확인하십시오.