🇰🇷 한글 설명
Faker 라이브러리의 10.5.0 미만 버전에서 faker.helpers.fake 메서드가 공격자가 제어하는 템플릿을 통해 Function 생성자에 접근할 수 있는 취약점이 존재합니다. 함수가 다른 함수를 반환할 때 fakeEval.resolveProperty를 통해 임의의 자바스크립트 코드가 실행될 수 있습니다.
💡 쉬운 설명
가짜 데이터를 만들어주는 도구인 Faker에서 보안 구멍이 발견되었습니다. 공격자가 특수한 데이터를 입력하면 사용자의 컴퓨터에서 몰래 나쁜 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Faker generates massive amounts of fake data in the browser and Node.js. Prior to 10.5.0, the faker.helpers.fake method in src/modules/helpers/eval.ts allows attacker-controlled fake templates to access the Function constructor through fakeEval.resolveProperty when a function returns another function, enabling arbitrary JavaScript code execution. This issue is fixed in version 10.5.0.
📍 영향받는 시스템
Faker library versions prior to 10.5.0
⚔️ 공격 벡터
공격자가 제어하는 가짜 데이터 템플릿을 통해 Function 생성자를 호출하여 임의의 자바스크립트 코드 실행
🛡️ 대응 방법
Faker 라이브러리를 10.5.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 10.5.0 미만인지 확인하십시오.