🇰🇷 한글 설명
transcribe2texts 1.0.6 이하 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 transcribeAudio() 함수에 조작된 audioPath 값을 전달하면, child_process.exec()를 통해 Node.js 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
오디오 파일을 처리하는 과정에서 악성 코드가 포함된 파일 경로를 입력하면 컴퓨터가 해커의 명령을 그대로 실행해버리는 문제입니다. 이를 통해 해커가 시스템의 제어권을 탈취할 수 있습니다.
🇺🇸 원문 (English)
transcribe2texts through 1.0.6 contains an OS command injection vulnerability that allows attackers to execute commands by supplying crafted audioPath values to transcribeAudio(). Attackers can inject $() or backtick substitution or a closing quote into the unescaped path passed to child_process.exec() to run commands with Node.js process privileges.
📍 영향받는 시스템
transcribe2texts 1.0.6 이하 모든 버전
⚔️ 공격 벡터
transcribeAudio() 함수의 audioPath 매개변수에 특수 문자($(), ` 등)를 포함한 조작된 경로 입력
🛡️ 대응 방법
transcribe2texts를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력값에 대한 검증 로직을 추가하십시오.
🔧 검증 코드
출력된 결과에서 transcribe2texts의 버전이 1.0.6 이하인지 확인하십시오.
npm list transcribe2texts