🇰🇷 한글 설명
Mermaid는 Markdown 형식의 텍스트로 다이어그램과 차트를 생성하고 수정하는 JavaScript 도구입니다. 10.9.8 및 11.16.1 이전 버전에서는 다이어그램에서 제공된 class 또는 id 이름으로 생성되는 형제 결합자(sibling combinator) 선택자를 통해 CSS 인젝션이 가능합니다. 이로 인해 공격자는 렌더링된 페이지에 임의의 CSS를 삽입하여 관련 없는 페이지 요소의 외형이나 동작을 변경할 수 있습니다.
💡 쉬운 설명
다이어그램을 그리는 도구인 Mermaid에 취약점이 있어, 악성 다이어그램 텍스트로 웹페이지의 모양을 몰래 바꿀 수 있습니다. 10.9.8 또는 11.16.1 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Mermaid is a JavaScript tool that uses Markdown-inspired text to create and modify diagrams and charts. Prior to 10.9.8 and 11.16.1, Mermaid is vulnerable to CSS injection via sibling combinator selectors generated from diagram-supplied class or id names. An attacker who can supply diagram text can inject arbitrary CSS into the rendered page, potentially altering the appearance or behavior of unrelated page elements. This issue is fixed in versions 10.9.8 and 11.16.1.
📍 영향받는 시스템
Mermaid 10.9.8 미만 및 11.16.1 미만 버전을 사용하는 웹 애플리케이션 및 프로젝트
⚔️ 공격 벡터
공격자가 다이어그램 텍스트를 입력할 수 있는 환경에서 조작된 class/id 이름을 포함시켜 임의의 CSS를 페이지에 주입
🛡️ 대응 방법
Mermaid를 10.9.8 이상 또는 11.16.1 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 10.9.8 또는 11.16.1 미만이면 취약하며, 해당 버전 이상이면 패치가 적용된 것입니다.
npm ls mermaid 2>/dev/null | grep mermaid