🇰🇷 한글 설명
@mborne/extract 0.2.1 미만 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 archivePath 또는 targetDir 옵션에 셸 메타문자를 삽입하면, unzip, 7z, tar-bz2, gz 추출기 내의 unquoted shelljs exec()를 통해 Node.js 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
압축을 푸는 프로그램의 설정값에 악성 명령어를 섞어 넣으면 컴퓨터가 이를 명령으로 오해하고 실행해 버리는 문제입니다. 이를 통해 해커가 사용자의 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
@mborne/extract before 0.2.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying shell metacharacters in archivePath or targetDir options. Attackers controlling these values passed to extract() can inject commands into unquoted shelljs exec() strings in the unzip, 7z, tar-bz2 and gz extractors, running them with Node.js process privileges.
📍 영향받는 시스템
@mborne/extract < 0.2.1
⚔️ 공격 벡터
archivePath 또는 targetDir 옵션에 셸 메타문자를 포함한 악성 경로 입력
🛡️ 대응 방법
@mborne/extract 버전을 0.2.1 이상으로 업데이트
🔧 검증 코드
출력된 결과에서 @mborne/extract의 버전이 0.2.1 미만인지 확인