🇰🇷 한글 설명
degit 패키지의 2.8.6 미만 및 3.0.0 이상 3.3.1 미만 버전은 사용자 입력에 대한 부적절한 검증으로 인해 명령어 삽입 취약점이 존재합니다. 공격자는 악성 git 저장소 이름을 제공하여 프로세스 권한으로 임의의 OS 명령을 실행할 수 있습니다.
💡 쉬운 설명
degit 프로그램은 git 저장소 이름에 해로운 코드가 섞여 있는지 제대로 확인하지 않습니다. 이로 인해 해커가 사용자의 컴퓨터에서 원하는 프로그램을 마음대로 실행할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Versions of the package degit before 2.8.6, from 3.0.0 and before 3.3.1 are vulnerable to Command Injection due to improper sanitisation of user input for git shell commands directly invoked with exec() method by _cloneWithGit() and fetchRefs() functions. An attacker can execute arbitrary operating system commands as the process user by supplying a specially crafted git repository name.
📍 영향받는 시스템
degit < 2.8.6, 3.0.0 <= degit < 3.3.1
⚔️ 공격 벡터
악성 git 저장소 이름을 사용하여 exec() 함수를 통해 임의 명령어 실행
🛡️ 대응 방법
degit 패키지를 최신 안정 버전(2.8.6 이상 또는 3.3.1 이상)으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 2.8.6 미만이거나 3.0.0 이상 3.3.1 미만인 경우 취약한 버전입니다.
npm list degit 2>/dev/null | grep -E 'degit@'