🇰🇷 한글 설명
Slyde는 XML을 사용하여 애니메이션 프레젠테이션을 생성하는 프로그램입니다. 0.0.4 이하 버전에서는 Node.js가 node_modules 내의 모든 *.plugin.{js,mjs} 파일을 자동으로 가져오기 때문에, 악성 .plugin.js 파일을 포함한 패키지가 설치되거나 호출될 경우 임의의 코드가 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 설치될 때 특정 규칙을 가진 파일을 자동으로 실행하는 취약점입니다. 나쁜 의도를 가진 파일이 포함된 패키지를 설치하면 해커가 내 컴퓨터에서 마음대로 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
Slyde is a program that creates animated presentations from XML. In versions 0.0.4 and below, Node.js automatically imports **/*.plugin.{js,mjs} files including those from node_modules, so any malicious package with a .plugin.js file can execute arbitrary code when installed or required. All projects using this loading behavior are affected, especially those installing untrusted packages. This issue has been fixed in version 0.0.5. To workaround this issue, users can audit and restrict which packages are installed in node_modules.
📍 영향받는 시스템
Slyde 0.0.4 및 그 이하 모든 버전
⚔️ 공격 벡터
악성 .plugin.js 파일을 포함한 외부 패키지를 설치하거나 불러오는 방식
🛡️ 대응 방법
Slyde를 0.0.5 버전 이상으로 업데이트하거나 node_modules 내 설치 패키지를 엄격히 감사 및 제한함
🔧 검증 코드
명령어 결과에 [email protected] 이하의 버전이 나타나면 취약한 상태입니다.
npm list slyde | grep -E 'slyde@0\.[0-4]\.'