🇰🇷 한글 설명
launch-editor 2.14.2 미만 버전에서 Windows 환경의 cmd로 인자를 전달할 때 '%' 문자를 제대로 이스케이프하지 않는 취약점이 존재합니다. 공격자가 환경 변수에 악성 값을 포함시킬 경우, 해당 내용이 명령어로 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 윈도우 명령어를 실행할 때 특수 문자를 제대로 처리하지 못해 발생하는 문제입니다. 나쁜 의도를 가진 사용자가 환경 변수를 조작하면 컴퓨터가 원치 않는 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
launch-editor allows users to open files with line numbers in editor from Node.js. Prior to 2.14.2, launch-editor did not escape % on Windows when passing an argument to cmd. When an environment variable contained a malicious value, it was possible that that content to be executed. This vulnerability is fixed in 2.14.2.
📍 영향받는 시스템
launch-editor 버전 2.14.2 미만
⚔️ 공격 벡터
악성 값이 포함된 환경 변수를 이용한 명령 주입(Command Injection)
🛡️ 대응 방법
launch-editor를 2.14.2 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 launch-editor의 버전이 2.14.2 미만인지 확인하십시오.