🇰🇷 한글 설명
DHTMLX의 Gantt 및 Scheduler 제품의 PDF Export Module에서 'data' 매개변수에 대한 입력 검증 부족으로 인한 원격 코드 실행 취약점입니다. 비인증 공격자가 악의적인 JavaScript 코드를 주입하면 Node.js에서 실행되어 서버가 침해될 수 있으며, 버전 0.7.6 이상으로 업그레이드하면 수정됩니다.
💡 쉬운 설명
DHTMLX의 PDF 내보내기 기능이 사용자 입력을 제대로 검증하지 않아 악의적인 코드 삽입이 가능합니다. 공격자가 이를 이용하면 서버를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
PDF Export Module used in DHTMLX's products Gantt and Scheduler is vulnerable to Remote Code Execution due to lack of "data" parameter sanitization. An unauthenticated attacker can inject the malicious JavaScript code to the parameter whose value is processed by Node.js and subsequently executed. This can lead to server compromise.
This issue was fixed in PDF Export Module version 0.7.6.
📍 영향받는 시스템
DHTMLX Gantt, DHTMLX Scheduler (PDF Export Module < 0.7.6)
⚔️ 공격 벡터
비인증 공격자가 'data' 파라미터에 JavaScript 페이로드를 주입하여 서버에서 코드 실행
🛡️ 대응 방법
PDF Export Module을 0.7.6 버전 이상으로 업그레이드
🔧 검증 코드
출력에서 0.7.6 미만의 버전이 표시되면 취약점 있음, 0.7.6 이상이거나 패키지 없으면 안전
npm list @dhtmlx/pdf-export 2>/dev/null | grep -E '0\.[0-5]\.[0-9]|@dhtmlx'