🇰🇷 한글 설명
DumbAssets 1.0.11 이하 버전의 POST /api/delete-file 엔드포인트에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 인증되지 않은 공격자가 ../ 시퀀스를 사용하여 디렉토리 경계를 우회하고 서버의 주요 파일을 임의로 삭제할 수 있습니다. 이로 인해 server.js나 package.json 같은 핵심 파일이 삭제되어 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
해커가 파일 삭제 기능을 악용해 서버의 중요한 시스템 파일을 마음대로 지울 수 있는 보안 구멍이 발견되었습니다. 이 공격을 받으면 웹사이트가 작동을 멈추고 완전히 망가질 수 있습니다.
🇺🇸 원문 (English)
DumbAssets through 1.0.11 contains a path traversal vulnerability in the POST /api/delete-file endpoint and filesToDelete array parameters that allows unauthenticated attackers to delete arbitrary files by supplying ../ sequences that bypass directory boundary validation. Attackers can exploit the optional and disabled-by-default authentication control to traverse outside the intended application directory and delete critical files such as server.js or package.json, causing complete denial of service.
📍 영향받는 시스템
DumbAssets 1.0.11 이하 모든 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 POST 요청의 filesToDelete 파라미터에 ../ 경로 조작 문자를 삽입하여 공격
🛡️ 대응 방법
DumbAssets를 최신 보안 패치가 적용된 버전으로 업데이트하고, API 엔드포인트의 인증 설정을 활성화함
🔧 검증 코드
출력된 버전 번호가 1.0.11 이하인지 확인하여 취약 여부를 판단함
npm list dumbassets | grep -E 'dumbassets@([0-9]+\.[0-9]+\.[0-9]+)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server