🇰🇷 한글 설명
@offactory/compress-fonts 1.1.1 미만 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 조작된 파일 이름을 가진 폰트 파일을 제공하면, FontForge 명령 실행 과정에서 쉘 메타문자가 처리되어 Node.js 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
폰트 파일의 이름을 특수하게 조작하여 컴퓨터에 몰래 명령을 내릴 수 있는 보안 약점입니다. 해커가 파일 이름을 통해 시스템 제어권을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
@offactory/compress-fonts before 1.1.1 contains an OS command injection vulnerability that allows attackers to execute shell commands by supplying font files with crafted names. Font paths are interpolated unquoted into a FontForge command run through child_process.execSync, so shell metacharacters in file names execute commands with the Node.js process privileges.
📍 영향받는 시스템
@offactory/compress-fonts version < 1.1.1
⚔️ 공격 벡터
조작된 파일 이름을 가진 폰트 파일을 업로드하거나 처리하도록 유도하여 OS 명령 실행
🛡️ 대응 방법
@offactory/compress-fonts 패키지를 1.1.1 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 @offactory/compress-fonts의 버전이 1.1.1 미만인지 확인
npm list @offactory/compress-fonts