🇰🇷 한글 설명
Node.js용 임시 파일 생성 라이브러리인 tmp의 0.2.6 미만 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 prefix, postfix 또는 dir 옵션에 ../와 같은 경로 탐색 시퀀스를 삽입하면 설정된 임시 디렉토리를 벗어나 임의의 위치에 파일을 생성할 수 있습니다.
💡 쉬운 설명
임시 파일을 만드는 프로그램이 사용자가 입력한 경로를 제대로 검사하지 않아 발생하는 문제입니다. 이를 통해 해커는 원래 정해진 폴더가 아닌 컴퓨터의 중요한 위치에 몰래 파일을 만들 수 있습니다.
🇺🇸 원문 (English)
tmp is a temporary file and directory creator for node.js. Prior to 0.2.6, the tmp npm package contains a path traversal vulnerability that allows escaping the intended temporary directory when untrusted data flows into the prefix, postfix, or dir options. By embedding traversal sequences (e.g., ../) or path separators in these parameters, attackers can cause files to be created outside the configured temporary base directory at attacker-controlled locations with the privileges of the running process. This vulnerability affects applications that pass user-controlled data to tmp's file/directory creation functions without proper input sanitization. This vulnerability is fixed in 0.2.6.
📍 영향받는 시스템
tmp npm package versions prior to 0.2.6
⚔️ 공격 벡터
untrusted data (e.g., ../) passed to prefix, postfix, or dir options
🛡️ 대응 방법
Update the tmp npm package to version 0.2.6 or higher
🔧 검증 코드
출력된 tmp 패키지의 버전이 0.2.6 미만인지 확인합니다.