🇰🇷 한글 설명
Node.js용 FTP 클라이언트 라이브러리인 `basic-ftp`의 5.2.0 미만 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. `downloadToDir()` 메서드 사용 시 악의적인 FTP 서버가 `../`와 같은 경로 탐색 시퀀스가 포함된 파일명을 전송하면, 파일이 의도된 디렉터리 외부의 경로에 저장될 수 있습니다.
💡 쉬운 설명
파일을 다운로드할 때 파일 이름에 '상위 폴더로 이동'하라는 명령이 숨겨져 있으면, 원래 저장하려던 폴더가 아닌 컴퓨터의 중요한 시스템 폴더에 파일이 저장될 수 있는 문제입니다. 이를 통해 해커가 시스템의 중요한 파일을 덮어쓰거나 변조할 위험이 있습니다.
🇺🇸 원문 (English)
The `basic-ftp` FTP client library for Node.js contains a path traversal vulnerability (CWE-22) in versions prior to 5.2.0 in the `downloadToDir()` method. A malicious FTP server can send directory listings with filenames containing path traversal sequences (`../`) that cause files to be written outside the intended download directory. Version 5.2.0 patches the issue.
📍 영향받는 시스템
basic-ftp library versions prior to 5.2.0
⚔️ 공격 벡터
악의적인 FTP 서버가 경로 탐색 시퀀스(`../`)가 포함된 파일명을 전송하여 클라이언트의 파일 저장 경로를 조작함
🛡️ 대응 방법
basic-ftp 라이브러리를 5.2.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 basic-ftp의 버전이 5.2.0 미만인지 확인하십시오.