🇰🇷 한글 설명
Anki는 플래시카드를 만들고 복습하는 프로그램입니다. 25.09.3 이전 버전에서는 Anki의 로컬 HTTP 서버 엔드포인트가 요청된 미디어 및 내장 데이터 경로를 충분히 제한하지 않아, 공유 덱에 포함된 스크립트나 출처 검사를 우회하는 악성 웹사이트가 디렉터리 순회를 통해 로컬 파일을 읽을 수 있습니다. 이 문제는 25.09.3 버전에서 수정되었습니다.
💡 쉬운 설명
Anki의 내부 웹 서버가 파일 접근 경로를 제대로 제한하지 않아, 악성 덱이나 웹사이트가 컴퓨터의 개인 파일을 읽을 수 있습니다. 해결하려면 Anki를 25.09.3 이상으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Anki is a program for creating and reviewing flashcards. Prior to 25.09.3, endpoints in Anki's local HTTP server do not adequately constrain requested media and built-in data paths, allowing scripts served from shared decks, or malicious websites combined with an origin-check bypass, to read local files through directory traversal. This issue is fixed in version 25.09.3.
📍 영향받는 시스템
Anki 25.09.3 미만 버전 (Windows, macOS, Linux)
⚔️ 공격 벡터
악성 공유 덱의 스크립트 또는 출처 검사를 우회하는 악성 웹사이트가 디렉터리 순회로 로컬 파일을 읽음
🛡️ 대응 방법
Anki를 25.09.3 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 25.09.3 미만이면 취약하므로 업데이트가 필요하고, 25.09.3 이상이면 수정된 버전입니다.
anki --version 2>/dev/null || grep -i version /Applications/Anki.app/Contents/Info.plist 2>/dev/null