🇰🇷 한글 설명
Claude HUD 0.0.12 이하 버전은 OSC 8 터미널 하이퍼링크 이스케이프 시퀀스를 생성할 때 cwd와 branchUrl 값을 제어 문자 제거나 인코딩 없이 그대로 사용하여, 공격자가 터미널 세션에 임의의 ANSI 코드를 주입할 수 있습니다. 이 문제는 commit 234d9aa에서 패치되었습니다.
💡 쉬운 설명
Claude HUD라는 도구가 터미널 화면에 표시하는 정보에 악의적인 코드가 숨겨질 수 있습니다. 사용자가 해당 링크를 클릭하면 화면 조작이나 외부 서버 접속이 일어날 수 있습니다.
🇺🇸 원문 (English)
Claude HUD through 0.0.12, patched in commit 234d9aa, constructs OSC 8 terminal hyperlink escape sequences using raw cwd and branchUrl values without stripping control characters or encoding embedded values, allowing attackers to inject arbitrary ANSI codes into terminal sessions. Attackers can embed ESC+backslash sequences in the current working directory or branch URL to execute malicious ANSI codes including text color changes, forged prompts, and OSC 52 clipboard writes, or trigger outbound HTTP requests to attacker-controlled remotes when hyperlinks are clicked.
📍 영향받는 시스템
Claude HUD 0.0.12 이하 버전 (commit 234d9aa 이전)
⚔️ 공격 벡터
공격자가 작업 디렉터리(cwd)나 브랜치 URL에 ESC+백슬래시 시퀀스를 삽입하여 악성 ANSI 코드를 실행시킴
🛡️ 대응 방법
Claude HUD를 commit 234d9aa 이후 버전 또는 0.0.13 이상으로 업데이트
🔧 검증 코드
출력된 버전이 0.0.12 이하이면 취약하며, 0.0.13 이상이거나 패치된 커밋을 포함한 버전이면 안전합니다.
npm list -g claude-hud 2>/dev/null | grep -E 'claude-hud@'