🇰🇷 한글 설명
MikroORM의 Utils.merge 헬퍼 함수에서 프로토타입 오염(Prototype Pollution) 취약점이 발견되었습니다. 공격자가 __proto__, constructor 또는 prototype과 같은 특수 키를 포함한 입력을 전달하면 JavaScript 객체의 프로토타입을 수정할 수 있습니다. 이 문제는 버전 6.6.10 및 7.0.6에서 패치되었습니다.
💡 쉬운 설명
프로그램이 데이터를 합치는 과정에서 악의적인 명령어가 포함된 데이터를 걸러내지 못하는 문제입니다. 이를 통해 해커가 프로그램의 기본 동작 방식을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
MikroORM is a TypeScript ORM for Node.js based on Data Mapper, Unit of Work and Identity Map patterns. Prior to versions 6.6.10 and 7.0.6, a prototype pollution vulnerability exists in the Utils.merge helper used internally by MikroORM when merging object structures. The function did not prevent special keys such as __proto__, constructor, or prototype, allowing attacker-controlled input to modify the JavaScript object prototype when merged. This issue has been patched in versions 6.6.10 and 7.0.6.
📍 영향받는 시스템
MikroORM versions prior to 6.6.10 and 7.0.6
⚔️ 공격 벡터
공격자가 제어 가능한 입력값을 통해 객체의 프로토타입 속성을 조작하는 방식
🛡️ 대응 방법
MikroORM을 버전 6.6.10 또는 7.0.6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 6.6.10 미만이거나 7.0.6 미만인 경우 취약한 상태입니다.
npm list mikro-orm | grep -E 'mikro-orm@([0-5]\.[0-5]\.[0-9]+|6\.[6]\.(10|[0-9]+)|7\.[0]\.(6|[0-9]+))'