🇰🇷 한글 설명
CyberChef는 암호화, 인코딩, 압축, 데이터 분석을 위한 웹 애플리케이션입니다. 11.2.0 이전 버전에서는 Series Chart 연산이 사용자 제공 CSV를 파싱할 때 __proto__를 키로 허용하여, Parse UDP 등의 연산과 연계해 HTML 출력에 악성 JavaScript를 삽입할 수 있는 프로토타입 오염이 발생합니다. 이 문제는 11.2.0 버전에서 수정되었습니다.
💡 쉬운 설명
CyberChef라는 데이터 처리 웹 도구에서 특정 CSV 입력을 조작하면 내부 객체 구조가 오염됩니다. 이를 악용하면 결과 화면에 악성 스크립트가 삽입될 수 있습니다.
🇺🇸 원문 (English)
CyberChef is a web app for encryption, encoding, compression, and data analysis. Prior to 11.2.0, the Series Chart operation accepts __proto__ as a key while parsing user-supplied CSV, allowing prototype pollution that can be chained with operations such as Parse UDP to inject malicious JavaScript into HTML output. This issue is fixed in version 11.2.0.
📍 영향받는 시스템
CyberChef 11.2.0 미만 버전
⚔️ 공격 벡터
조작된 CSV 데이터(__proto__ 키 포함)를 Series Chart로 처리한 뒤 Parse UDP 등과 연계해 HTML 출력에 악성 JavaScript를 주입
🛡️ 대응 방법
CyberChef를 11.2.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 11.2.0 미만이면 취약하며, 11.2.0 이상이면 패치된 버전입니다. 아무 결과도 없으면 설치 경로를 직접 확인해야 합니다.
npm ls cyberchef 2>/dev/null | grep -i cyberchef || grep -o '"version": *"[^"]*"' node_modules/cyberchef/package.json 2>/dev/null