🇰🇷 한글 설명
Math.js 라이브러리의 13.1.1부터 15.2.0 이전 버전에서 표현식 파서를 통해 임의의 자바스크립트 코드를 실행할 수 있는 취약점이 존재합니다. 사용자가 mathjs 표현식 파서로 임의의 표현식을 평가할 수 있는 애플리케이션이 영향을 받습니다. 15.2.0 버전 이상으로 업그레이드하여 해결됩니다.
💡 쉬운 설명
Math.js 라이브러리에서 사용자가 수식을 입력할 때 악의적인 코드를 숨어 실행할 수 있습니다. 이를 통해 해커가 서버를 완전히 장악하고 민감한 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Math.js is an extensive math library for JavaScript and Node.js. From 13.1.1 to before 15.2.0, a vulnerability allowed executing arbitrary JavaScript via the expression parser of mathjs. You can be affected when you have an application where users can evaluate arbitrary expressions using the mathjs expression parser. This vulnerability is fixed in 15.2.0.
📍 영향받는 시스템
Math.js 13.1.1 ~ 15.1.x (Node.js 및 JavaScript 기반 웹 애플리케이션)
⚔️ 공격 벡터
사용자 입력 표현식을 mathjs 파서의 evaluate() 함수로 직접 처리할 때 임의 코드 실행 가능
🔧 검증 코드
출력된 버전이 15.2.0 이상이면 안전, 15.1.x 이하면 즉시 업그레이드 필요
npm list mathjs 2>/dev/null | grep mathjs | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | awk '{print $1}'