🇰🇷 한글 설명
wakaru는 JavaScript 디컴파일러 및 언미니파이어 도구 모음입니다. 1.0.0부터 1.4.0 이전 버전의 @wakaru/cli는 번들에서 추출한 모듈 파일명을 한 번만 살균(sanitize)하므로, ....// 같이 겹치는 경로 탐색 시퀀스가 포함된 파일명이 ../ 로 축약되어 출력 경로가 선택된 출력 디렉터리를 벗어날 수 있습니다. 이로 인해 악성 번들을 --unpack으로 실행한 사용자의 시스템에서 임의 파일 쓰기 및 환경에 따라 코드 실행으로 이어질 수 있습니다. 이 문제는 @wakaru/cli 1.4.0에서 수정되었습니다.
💡 쉬운 설명
악성 JavaScript 번들을 wakaru로 풀면, 공격자가 만든 특수한 파일 이름 때문에 지정한 폴더 밖에 파일이 저장될 수 있습니다. 이를 악용하면 시스템 파일이 덮어써지거나 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
wakaru is a JavaScript decompiler and unminifier toolkit. From 1.0.0 until 1.4.0, @wakaru/cli sanitizes bundle-controlled module filenames only once before writing extracted modules, so a crafted filename containing overlapping traversal sequences such as ....// collapses to ../ after sanitization and lets the final output path escape the selected output directory, allowing an attacker who can cause a user to run wakaru --unpack on a malicious bundle to write files outside that directory and, depending on the target path and environment, potentially achieve code execution. This issue is fixed in @wakaru/cli 1.4.0.
📍 영향받는 시스템
@wakaru/cli 1.0.0 이상 1.4.0 미만 버전
⚔️ 공격 벡터
공격자가 악성 번들을 제작해 사용자가 wakaru --unpack으로 해당 번들을 풀도록 유도
🛡️ 대응 방법
@wakaru/cli를 1.4.0 이상으로 업데이트하고, 신뢰할 수 없는 번들은 격리된 환경에서 처리
🔧 검증 코드
출력된 버전이 1.4.0 미만이면 취약하며, 1.4.0 이상이거나 설치되지 않았다면 해당 CVE에 영향받지 않습니다.
npm list -g @wakaru/cli 2>/dev/null | grep wakaru; npm list @wakaru/cli 2>/dev/null | grep wakaru