🇰🇷 한글 설명
Node.js/Deno 웹 프레임워크용 18next-http-middleware 3.9.3 이전 버전에서 getResourcesHandler와 missingKeyHandler 두 가지 검증되지 않은 엔드포인트를 통해 Object.prototype 오염 공격이 가능합니다. 이는 인증 체크 우회, DoS 공격, 그리고 원격 코드 실행으로 확대될 수 있습니다.
💡 쉬운 설명
이 취약점은 웹 서버의 핵심 객체 구조를 조작하는 공격으로, 누구나 관리자 권한을 얻거나 서버를 마비시킬 수 있습니다. 검증 없이 받는 사용자 입력이 시스템 전체를 파괴할 수 있는 심각한 문제입니다.
🇺🇸 원문 (English)
18next-http-middleware is a middleware to be used with Node.js web frameworks like express or Fastify and also for Deno. Versions prior to 3.9.3 allow an unauthenticated HTTP client to pollute Object.prototype in the Node.js process hosting the middleware, via two unvalidated entry points that reach internal object-key writes: getResourcesHandler and missingKeyHandler. This can break authorisation checks (if (user.isAdmin) returning true for any user), cause type-confusion DoS, and depending on downstream code it can be chained into RCE.
📍 영향받는 시스템
18next-http-middleware < 3.9.3 (Node.js/Deno 기반 Express, Fastify)
⚔️ 공격 벡터
비인증 HTTP 클라이언트가 getResourcesHandler/missingKeyHandler 엔드포인트에 특수 조작된 요청을 전송하여 Object.prototype 오염 수행
🔧 검증 코드
표시된 버전이 3.9.3 이상이면 안전, 미만이면 즉시 업그레이드 필요
npm list 18next-http-middleware 2>/dev/null | grep 18next-http-middleware | grep -oE '@[0-9.]+' | head -1