🇰🇷 한글 설명
Oh My Posh 29.35.1 미만 버전에서 현재 디렉토리 이름이나 Git 메타데이터에 포함된 터미널 제어 문자를 적절히 필터링하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 디렉토리명이나 Git 정보를 통해 터미널 이스케이프 시퀀스를 주입하면 클립보드 조작, 화면 위조 또는 터미널 오작동을 유발할 수 있습니다.
💡 쉬운 설명
터미널 꾸미기 도구인 Oh My Posh가 나쁜 의도로 만들어진 폴더 이름을 읽을 때, 이를 명령어로 오해하여 실행할 수 있는 문제입니다. 이를 통해 해커가 사용자의 화면을 속이거나 복사한 내용을 몰래 바꿀 수 있습니다.
🇺🇸 원문 (English)
Oh My Posh is the most customisable and low-latency cross platform/shell prompt renderer. Prior to 29.35.1, write(s rune) in src/terminal/writer.go emitted attacker-controlled current directory names and Git metadata, including Commit.Subject, Commit.Author.Name, Commit.Author.Email, and RawUpstreamURL, without removing C0/C1 terminal control characters such as ESC, BEL, CSI, and OSC, allowing terminal escape sequence injection during prompt rendering that could overwrite the clipboard, spoof the prompt or screen, manipulate the window title, or disrupt the terminal. This issue is fixed in version 29.35.1.
📍 영향받는 시스템
Oh My Posh version < 29.35.1
⚔️ 공격 벡터
조작된 디렉토리 이름 또는 Git 메타데이터를 통한 터미널 이스케이프 시퀀스 주입
🛡️ 대응 방법
Oh My Posh를 최신 버전인 29.35.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 29.35.1보다 낮은지 확인하십시오.