🇰🇷 한글 설명
React Router 7.0.0부터 7.14.1 버전의 Framework Mode 사용 시, 기존의 프로토타입 오염 취약점과 결합하여 원격 코드 실행(RCE)이 발생할 수 있는 보안 결함입니다. 외부 요청을 통해 2단계 공격이 수행될 수 있으며, Declarative Mode나 Data Mode를 사용하는 경우에는 영향을 받지 않습니다.
💡 쉬운 설명
웹사이트의 길을 안내하는 React Router 프로그램에 보안 구멍이 발견되었습니다. 해커가 기존의 다른 약점을 이용해 이 구멍을 통과하면, 서버를 마음대로 조종할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
React Router is a router for React. In versions 7.0.0 through 7.14.1, when using Framework Mode, a combination of steps could potentially allow unauthorized remote code execution (RCE) through external requests. This attack requires the application code to have an existing prototype pollution vulnerability, which can then be leveraged in a 2-step attack where the second step triggers unauthorized RCE on the remote server. This does not impact applications using Declarative Mode (`<BrowserRouter>`) or Data Mode (`createBrowserRouter/<RouterProvider>`). This is patched in version 7.14.2.
📍 영향받는 시스템
React Router 7.0.0 ~ 7.14.1 (Framework Mode 사용 시)
⚔️ 공격 벡터
기존 프로토타입 오염 취약점을 이용한 2단계 외부 요청 공격을 통한 RCE
🛡️ 대응 방법
React Router를 최신 패치 버전인 7.14.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 react-router의 버전이 7.14.1 이하인지 확인하십시오.
npm list react-router || yarn list react-router
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server