🇰🇷 한글 설명
Video-stitch 2.0.0-beta.1 미만 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 concat(), cut(), 또는 merge() 함수에 전달되는 파일 이름에 쉘 메타문자를 삽입하여 Node.js 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
동영상 편집 프로그램이 파일 이름을 처리할 때 보안 처리를 제대로 하지 않아 발생하는 문제입니다. 악의적인 이름이 붙은 파일을 이용하면 해커가 컴퓨터에 몰래 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
Video-stitch before 2.0.0-beta.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying file names interpolated unquoted into shell-executed ffmpeg command lines. Attackers who influence file names passed to concat(), cut(), or merge() can inject shell metacharacters to run commands with the Node.js process privileges.
📍 영향받는 시스템
Video-stitch 2.0.0-beta.1 미만 모든 버전
⚔️ 공격 벡터
조작된 파일 이름을 통해 ffmpeg 명령줄에 쉘 메타문자를 주입하는 방식
🛡️ 대응 방법
Video-stitch를 2.0.0-beta.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.0.0-beta.1보다 낮은지 확인하십시오.