🇰🇷 한글 설명
25.24.2 미만 버전의 Stills에는 OS 명령 주입 취약점이 존재합니다. 공격자가 조작된 미디어 파일 경로를 제공하면 ffmpeg, ffprobe, gifsicle 또는 convert 실행 시 Node.js 프로세스 권한으로 셸 명령을 실행할 수 있습니다.
💡 쉬운 설명
악의적으로 이름이 지어진 미디어 파일을 시스템이 처리할 때, 파일 이름에 숨겨진 명령어가 실행될 수 있는 보안 결함입니다. 이를 통해 해커가 컴퓨터에 몰래 명령을 내려 제어권을 뺏을 수 있습니다.
🇺🇸 원문 (English)
Stills before 25.24.2 contains an OS command injection vulnerability that allows attackers to execute shell commands by supplying crafted media file paths. Attackers can name a media file with $(...) or backticks to execute operating system commands with Node.js process privileges when ffmpeg, ffprobe, gifsicle, or convert runs.
📍 영향받는 시스템
Stills 25.24.2 미만 버전
⚔️ 공격 벡터
특수하게 조작된 파일명(예: $(...) 또는 백틱 사용)을 가진 미디어 파일을 시스템에 업로드하거나 처리하도록 유도
🛡️ 대응 방법
Stills를 최신 버전인 25.24.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 25.24.2 미만이면 취약한 상태이며, 25.24.2 이상이면 안전합니다.
npm list stills 2>/dev/null | grep -E 'stills@'