🇰🇷 한글 설명
gettext-converter 1.3.3 미만 버전의 js2i18next() 함수에서 프로토타입 오염(Prototype Pollution) 취약점이 발견되었습니다. 공격자가 조작된 번역 데이터를 제공할 경우 __proto__ 세그먼트를 통해 전역 Object.prototype에 임의의 속성을 주입할 수 있습니다. 이로 인해 서비스 거부(DoS)가 발생하거나 추가적인 공격으로 이어질 수 있습니다.
💡 쉬운 설명
프로그램이 번역 데이터를 처리하는 과정에서 보안 검사를 제대로 하지 않아 발생하는 문제입니다. 나쁜 의도를 가진 데이터가 들어오면 프로그램의 기본 설계도를 망가뜨려 시스템을 멈추게 하거나 해킹의 통로로 만들 수 있습니다.
🇺🇸 원문 (English)
gettext-converter provides gettext resource conversion utilities for JavaScript. Prior to 1.3.3, js2i18next() in lib/js2i18next.js splits nested translation keys using options.keyseparator, whose default value consists of two number signs, and uses each segment as a dynamic object key without rejecting __proto__, constructor, or prototype. When an application converts untrusted PO or i18next translation data, a __proto__ segment resolves Object.prototype as the nested write target and Object.assign writes attacker-controlled translated properties onto the process-wide prototype. The resulting prototype pollution can cause denial of service and may enable application-dependent follow-on attacks. This issue is fixed in version 1.3.3.
📍 영향받는 시스템
gettext-converter 버전 1.3.3 미만
⚔️ 공격 벡터
신뢰할 수 없는 PO 또는 i18next 번역 데이터를 js2i18next() 함수에 입력하여 프로토타입 오염 유도
🛡️ 대응 방법
gettext-converter를 최신 버전인 1.3.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.3.3 미만(예: 1.3.2 이하)이면 취약한 상태입니다.
npm list gettext-converter
💻 영향받는 소프트웨어
Windows iSCSI Target Service