🇰🇷 한글 설명
GitButler 0.19.7 이전 버전의 Tauri 데스크톱 애플리케이션에 원격 코드 실행 취약점이 존재합니다. 공격자가 Pull Request 본문에 악의적인 링크를 주입하여 사용자가 클릭하도록 유도하면, Tauri webview에서 임의의 스크립트가 실행될 수 있습니다. Forge integration 활성화 사용자만 영향을 받습니다.
💡 쉬운 설명
GitButler 프로그램에서 PR에 숨겨진 나쁜 링크를 클릭하면 컴퓨터가 해킹될 수 있습니다. 0.19.7 버전 이상으로 업데이트하면 안전합니다.
🇺🇸 원문 (English)
GitButler is a modern Git-based version control interface for AI-powered workflows. Prior to 0.19.7, a emote code execution vulnerability exists in the Tauri-based GitButler desktop application. An attacker can inject a malicious link in a pull request body, which if clicked by the user allows for arbitrary script execution in the Tauri webview. Users that have not enabled forge integration are not at risk. This vulnerability is fixed in 0.19.7.
📍 영향받는 시스템
GitButler < 0.19.7 (Tauri 기반 데스크톱 앱, Forge integration 활성화된 경우)
⚔️ 공격 벡터
PR 본문에 악의적 링크 삽입 → 사용자 클릭 → Tauri webview에서 임의 스크립트 실행
🛡️ 대응 방법
GitButler를 0.19.7 이상으로 업데이트하거나 Forge integration 비활성화
🔧 검증 코드
최신 릴리스 버전이 0.19.7 이상이면 안전, 미만이면 업데이트 필요
curl -s https://api.github.com/repos/gitbutlerapp/gitbutler/releases/latest | grep -o '"tag_name": "[^"]*"' | cut -d'"' -f4