🇰🇷 한글 설명
conda-forge 깃허브 조직의 두 React 컴포넌트가 외부에서 유입된 문자열을 DOMPurify 등 어떠한 정제 과정 없이 dangerouslySetInnerHTML로 HTML로 직접 렌더링합니다. 해당 문자열은 autotick 봇이 생성한 빌드 로그, 패치 출력, 트레이스백 등에서 가져오므로 악성 HTML/스크립트가 포함될 수 있으며, 공개 패치는 아직 없습니다.
💡 쉬운 설명
웹사이트가 외부 로그 내용을 검사 없이 그대로 웹페이지 코드로 실행합니다. 공격자가 빌드 과정에 악성 내용을 심을 수 있으면 방문자 브라우저에서 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
conda-forge is a GitHub organization containing repositories of conda recipes. In commits 85748ad2368a and prior, two React components render externally-sourced strings directly as HTML using dangerouslySetInnerHTML, with no sanitization (the project has no DOMPurify or equivalent dependency). JSON files are produced automatically by the conda-forge autotick bot (regro/cf-scripts) while it processes every conda-forge feedstock and its upstream source artifacts. The error/status strings embed raw output captured from those processes (build logs, patch output, tracebacks). The website renders them verbatim as HTML. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
conda-forge 깃허브 저장소의 웹 렌더링 컴포넌트(커밋 85748ad2368a 이전 버전)
⚔️ 공격 벡터
공격자가 피드스톡 빌드 로그나 업스트림 소스 산출물에 악성 HTML/스크립트를 포함시키면, autotick 봇이 이를 JSON에 기록하고 웹사이트가 이를 HTML로 렌더링하여 XSS가 발생합니다.
🛡️ 대응 방법
dangerouslySetInnerHTML 사용을 중단하고 텍스트로 렌더링하거나 DOMPurify 등으로 정제하며, 수정 패치 적용 전까지 해당 페이지 노출을 제한합니다.
🔧 검증 코드
결과가 1 이상이면 취약한 커밋 이후 상태이며 0이면 해당 커밋이 저장소 이력에 없음을 의미하고, 실제 취약성은 dangerouslySetInnerHTML 사용 여부를 grep으로 추가 확인해야 합니다.
git -C conda-forge.github.io log --oneline 2>/dev/null | grep -c 85748ad2368a