🇰🇷 한글 설명
WebdriverIO 9.24.0 미만에서 Git 브랜치 이름의 셸 메타문자를 검증 없이 execSync()에 전달하여 명령어 주입 취약점이 발생한다. 공격자는 악의적인 저장소의 브랜치 이름에 페이로드를 삽입하여 CI/CD 서버나 개발자 머신에서 임의의 코드를 실행할 수 있으며, 자격증명·SSH 키·소스 코드 탈취 및 공급망 공격이 가능하다.
💡 쉬운 설명
WebdriverIO 테스트 도구가 Git 브랜치 이름을 안전하게 검사하지 않아 악의적인 명령어를 실행할 수 있다. 이를 통해 컴퓨터의 모든 파일, 비밀번호, SSH 키에 접근할 수 있다.
🇺🇸 원문 (English)
WebdriverIO is a test automation framework for unit, e2e and component testing using WebDriver, WebDriver BiDi and Appium. Versions below 9.24.0 contain a command injection vulnerability leading to remote code execution (RCE) in test orchestration. Git permits branch names containing shell metacharacters, and getGitMetadataForAISelection() interpolates these names directly into execSync() calls without sanitization. An attacker can exploit this by supplying a malicious repository (via testOrchestrationOptions.runSmartSelection.source, or the current directory if unset) whose branch name carries a payload, causing the shell to execute arbitrary code. This enables remote code execution on CI/CD servers and developer machines, leading to credential and secret disclosure, source code and SSH key exfiltration, system compromise, and supply chain attacks via tampered build artifacts. The issue has been fixed in version 9.24.0.
📍 영향받는 시스템
WebdriverIO < 9.24.0
⚔️ 공격 벡터
악의적인 저장소의 Git 브랜치 이름에 셸 메타문자 페이로드를 삽입하여 testOrchestrationOptions.runSmartSelection.source나 현재 디렉토리의 저장소에서 임의 코드 실행
🛡️ 대응 방법
WebdriverIO를 9.24.0 이상으로 즉시 업그레이드
🔧 검증 코드
버전이 9.24.0 이상으로 표시되면 안전하고, 9.24.0 미만이면 즉시 업그레이드 필요
npm ls webdriverio 2>/dev/null | grep -E 'webdriverio@|webdriverio \('