🇰🇷 한글 설명
Windsurf 1.9544.26 버전에서 발생하는 프롬프트 인젝션 취약점으로, 공격자가 제어하는 HTML 콘텐츠를 처리할 때 임의의 명령어를 실행할 수 있습니다. 공격자는 로컬 MCP 설정을 무단으로 수정하고 악성 MCP STDIO 서버를 자동 등록하여 사용자 상호작용 없이 시스템 권한을 탈취할 수 있습니다.
💡 쉬운 설명
프로그램이 나쁜 의도가 담긴 웹 페이지 내용을 읽을 때, 그 안에 숨겨진 명령어를 실행해 버리는 문제입니다. 이를 통해 해커가 사용자의 컴퓨터에 몰래 명령을 내리거나 중요한 정보를 빼갈 수 있습니다.
🇺🇸 원문 (English)
A prompt injection vulnerability in Windsurf 1.9544.26 allows remote attackers to execute arbitrary commands on a victim system. When Windsurf processes attacker-controlled HTML content, malicious instructions can cause unauthorized modification of the local MCP configuration and automatic registration of a malicious MCP STDIO server, resulting in execution of arbitrary commands without further user interaction. Successful exploitation may allow attackers to execute commands on behalf of the user, persist malicious MCP configuration changes, and access sensitive information exposed through the application.
📍 영향받는 시스템
Windsurf 1.9544.26 이하 버전
⚔️ 공격 벡터
공격자가 조작한 HTML 콘텐츠를 Windsurf가 처리하도록 유도하여 MCP 설정을 변조함
🛡️ 대응 방법
Windsurf를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 '1.9544.26'이 포함되어 있다면 해당 취약점에 노출된 버전입니다.
windsurf --version 2>/dev/null | grep -E '1.9544.26'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server