🇰🇷 한글 설명
soundcloud-rpc는 Discord Rich Presence를 지원하는 SoundCloud 클라이언트로, 0.1.8 이전 버전에서 HTML 페이로드가 포함된 트랙 제목이 Electron 앱에서 로컬로 실행되는 취약점이 있습니다. 공격자가 SoundCloud의 트랙 메타데이터에 악성 코드를 주입하면 사용자의 머신에서 명령 실행이 가능하며, 이는 신뢰되지 않은 원격 데이터가 Node.js 통합이 활성화된 Electron 뷰에서 원시 HTML로 렌더링되기 때문입니다.
💡 쉬운 설명
soundcloud-rpc 앱이 SoundCloud에서 받은 곡 정보를 안전하게 처리하지 않아 악의적인 코드가 실행될 수 있습니다. 공격자가 SoundCloud의 곡 제목에 악성 코드를 넣으면 당신의 컴퓨터에서 실행된다는 뜻입니다.
🇺🇸 원문 (English)
soundcloud-rpc is a SoundCloud Client with Discord Rich Presence, Dark Mode, Last.fm and AdBlock support. Prior to 0.1.8, a track title containing an HTML payload executed locally in the Electron app. This means attacker-controlled SoundCloud track metadata can lead to local command execution on the user's machine. The application exposes a preload API (window.soundcloudAPI.sendTrackUpdate) to the remote SoundCloud page. Track metadata from SoundCloud is trusted and forwarded through IPC into the Electron main process. The app later renders that metadata as raw HTML inside privileged Electron views that have Node.js integration enabled. This vulnerability is fixed in 0.1.8.
📍 영향받는 시스템
soundcloud-rpc 버전 0.1.8 이전 (0.1.0 ~ 0.1.7)
⚔️ 공격 벡터
공격자가 SoundCloud의 트랙 메타데이터에 HTML/JavaScript 페이로드를 삽입하면 앱이 신뢰하여 로컬에서 실행함
🛡️ 대응 방법
soundcloud-rpc를 0.1.8 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 0.1.8 이상이면 안전하며, 0.1.8 미만이거나 설치되지 않았으면 즉시 업그레이드 필요
npm list soundcloud-rpc 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'