🇰🇷 한글 설명
nodejs-whisper 0.3.1 이하 버전의 convertToWavType() 함수에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 조작된 오디오 파일 경로를 제공하면 shelljs exec()를 통해 실행되는 ffmpeg 명령에 명령어가 삽입되어, Node.js 프로세스 권한으로 임의의 OS 명령을 실행할 수 있습니다.
💡 쉬운 설명
파일 이름에 특수 문자를 섞어 넣는 것만으로도 컴퓨터에 몰래 명령을 내릴 수 있는 보안 구멍이 있습니다. 해커가 만든 악성 파일 이름을 처리하는 과정에서 시스템 제어권을 탈취당할 수 있습니다.
🇺🇸 원문 (English)
nodejs-whisper through 0.3.1 contains an OS command injection vulnerability in convertToWavType() that allows attackers to execute commands by supplying crafted audio file paths. Attackers can provide file names containing $() command substitution or closing quotes, which are interpolated into an ffmpeg command run via shelljs exec(), executing OS commands with Node.js process privileges.
📍 영향받는 시스템
nodejs-whisper 0.3.1 및 그 이전 버전
⚔️ 공격 벡터
조작된 파일 경로(명령어 치환 기호 $() 포함)를 입력하여 ffmpeg 실행 시 명령 주입
🛡️ 대응 방법
해당 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하거나 입력값 검증 로직을 추가하십시오.
🔧 검증 코드
출력된 결과에서 nodejs-whisper의 버전이 0.3.1 이하인지 확인하십시오.