🇰🇷 한글 설명
fast-uri 라이브러리의 특정 버전에서 suffix 옵션을 사용할 때, 권한(authority)이 없는 참조에 대해 콜론(:)을 이스케이프하지 않고 출력하는 취약점이 발견되었습니다. 이로 인해 상대 경로가 스킴을 포함한 절대 URI로 오인될 수 있으며, XSS 공격이나 URI 비교 로직 우회에 악용될 수 있습니다. 해당 문제는 2.4.8, 3.1.9, 4.2.3 버전 이상에서 수정되었습니다.
💡 쉬운 설명
주소창에 입력하는 주소를 정리해주는 도구에서 실수로 특수문자를 제대로 처리하지 못하는 문제가 있습니다. 이로 인해 안전한 주소인 줄 알았던 데이터가 악성 스크립트를 실행하는 위험한 주소로 변할 수 있습니다.
🇺🇸 원문 (English)
fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions before 2.4.8, from 3.0.0 through 3.1.8, and from 4.0.0 through 4.2.2, when serialize(), normalize(), or resolve() are called with the non-default option reference set to suffix on a reference that has no authority, the emitted relative reference can contain a bare colon in its first path segment without escaping it, even though RFC 3986 forbids that because it makes the string reparse as an absolute URI with a scheme. An application that serializes or normalizes a relative reference with the suffix option and then treats the result as a URI can turn inert input into a live javascript, data, or vbscript URL, a cross-site scripting vector, and the equal() comparison can conflate a scheme-bearing reference with a relative one. Exposure is limited to applications using the non-default suffix reference option. The issue is fixed in fast-uri 2.4.8, 3.1.9, and 4.2.3, and users should upgrade to one of these versions or later. As a workaround, avoid the suffix reference option on untrusted input, or percent-encode a colon in the first path segment of the result before treating it as a URI.
📍 영향받는 시스템
fast-uri < 2.4.8, 3.0.0-3.1.8, 4.0.0-4.2.2
⚔️ 공격 벡터
suffix 옵션을 사용하는 애플리케이션에 조작된 입력값을 전달하여 이스케이프되지 않은 콜론이 포함된 URI를 생성함
🛡️ 대응 방법
fast-uri를 2.4.8, 3.1.9 또는 4.2.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 fast-uri의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.