🇰🇷 한글 설명
JS Recon의 1.2.1-beta.1부터 1.3.1-beta.2 버전 사이에서 PR Branch Checker 워크플로우가 신뢰할 수 없는 브랜치 및 저장소 이름을 쉘 명령에 직접 삽입하는 취약점이 발견되었습니다. 공격자가 악의적인 이름의 브랜치나 포크를 생성하여 풀 리퀘스트를 보내면, GitHub Actions 러너에서 GITHUB_TOKEN 권한을 이용한 임의 명령 실행이 가능합니다.
💡 쉬운 설명
해커가 특수한 이름을 가진 브랜치를 만들어 코드를 제출하면, 자동화 도구가 그 이름을 처리하는 과정에서 해커의 명령어를 실행하게 됩니다. 이로 인해 해커가 프로젝트의 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
JS Recon is a JavaScript enumeration and SAST tool. From 1.2.1-beta.1 until 1.3.1-beta.2, the PR Branch Checker workflow in .github/workflows/pr_checker.yml places github.head_ref and github.event.pull_request.head.repo.full_name into BRANCH_NAME and SOURCE_REPO and interpolates those untrusted values into a shell gh pr comment command. A remote user who opens a pull request can use shell metacharacters in a branch or fork name to execute commands in the GitHub Actions runner with the workflow's GITHUB_TOKEN, which has pull-requests write permission. This issue is fixed in version 1.3.1-beta.2.
📍 영향받는 시스템
JS Recon 1.2.1-beta.1 ~ 1.3.1-beta.2
⚔️ 공격 벡터
악의적인 브랜치명 또는 저장소명을 포함한 Pull Request 제출을 통한 Command Injection
🛡️ 대응 방법
JS Recon을 1.3.1-beta.2 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 해당 버전이 설치되어 있는 상태입니다.
npm list js-recon | grep -E 'js-recon@(1\.2\.1-beta\.1|1\.3\.1-beta\.2)'