🇰🇷 한글 설명
devalue(sveltejs/devalue) 5.8.0 이상 5.9.3 미만 버전의 stringifyAsync 함수에는 처리되지 않은 Promise 거부 문제가 있습니다. 여러 Promise를 직렬화할 때 나중의 Promise가 앞선 Promise보다 먼저 거부되면, 호출자가 반환된 Promise를 catch하더라도 내부 거부가 처리되지 않은 상태로 남습니다. 이로 인해 Node.js 프로세스가 종료될 수 있습니다.
💡 쉬운 설명
비동기 데이터를 변환하는 라이브러리에서 오류가 적절히 처리되지 않는 문제입니다. 특정 순서로 실패가 발생하면 서버 프로그램 전체가 멈출 수 있습니다.
🇺🇸 원문 (English)
devalue (sveltejs/devalue) 5.8.0 before 5.9.3 contains an unhandled promise rejection in stringifyAsync: when serializing multiple promises, a later promise rejecting before an earlier one settles leaves an internal rejection unhandled, even if the caller catches the returned promise. An attacker able to influence the timing or failure of serialized asynchronous values can terminate the Node.js process.
📍 영향받는 시스템
devalue 5.8.0 이상 5.9.3 미만을 사용하는 Node.js 기반 애플리케이션 (예: SvelteKit 프로젝트)
⚔️ 공격 벡터
공격자가 직렬화되는 비동기 값의 타이밍이나 실패 시점에 영향을 주어 Node.js 프로세스를 강제 종료시킬 수 있습니다.
🛡️ 대응 방법
devalue를 5.9.3 이상으로 업그레이드합니다 (예: npm install devalue@^5.9.3).
🔧 검증 코드
출력된 devalue 버전이 5.8.0 이상 5.9.3 미만이면 취약하며, 5.9.3 이상이면 패치된 상태이고, 출력이 없으면 해당 패키지가 설치되어 있지 않습니다.
npm ls devalue 2>/dev/null | grep devalue