🇰🇷 한글 설명
Logto 버전 1.40.1부터 1.41.0 사이에서 GitHub Actions 워크플로우 파일 내의 커밋 메시지 검사 단계에 명령 주입 취약점이 발견되었습니다. 공격자가 풀 리퀘스트(PR) 제목에 특수 문자를 포함시켜 GitHub Actions 실행 환경에서 임의의 쉘 명령어를 실행할 수 있습니다. 이 문제는 버전 1.41.0에서 수정되었습니다.
💡 쉬운 설명
프로그램이 작업 제목을 처리할 때 보안 검사를 제대로 하지 않아, 제목에 악성 명령어를 섞어 넣으면 시스템이 이를 실행할 수 있는 문제입니다. 이를 통해 작업 과정을 방해하거나 원치 않는 동작을 유도할 수 있습니다.
🇺🇸 원문 (English)
Logto is the modern, open-source auth infrastructure for SaaS and AI apps. From 1.40.1 until 1.41.0, Logto's .github/workflows/commitlint.yml directly interpolated github.event.pull_request.title into the Commitlint on PR title step's inline echo command before piping the title to npx commitlint. A pull request title containing a single quote could terminate the echo string and append arbitrary shell commands on the GitHub Actions runner. The pull_request trigger used a read-only GITHUB_TOKEN and did not expose repository secrets, but injected commands could alter or disrupt the ephemeral workflow execution. This issue is fixed in version 1.41.0.
📍 영향받는 시스템
Logto version 1.40.1 to 1.41.0
⚔️ 공격 벡터
악의적인 제목을 포함한 GitHub Pull Request를 생성하여 워크플로우 내의 쉘 명령어를 주입
🛡️ 대응 방법
Logto를 버전 1.41.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.41.0 미만(예: 1.40.1)이면 취약한 상태입니다.
git describe --tags 2>/dev/null | grep -E 'v1\[\.\d+\.\d+\]'