🇰🇷 한글 설명
CodeWhale 0.8.64 미만 버전의 js_execution 도구에서 부모 프로세스의 환경 변수를 삭제하지 않아 발생하는 환경 변수 노출 취약점입니다. 공격자는 실행되는 악성 자바스크립트 코드를 통해 process.env를 읽어 API 키, 클라우드 자격 증명 및 인증 토큰을 모델 컨텍스트로 유출할 수 있습니다.
💡 쉬운 설명
프로그램이 실행될 때 중요한 비밀번호나 열쇠가 담긴 정보를 제대로 숨기지 못하는 문제입니다. 나쁜 코드가 실행되면 이 비밀 정보들을 몰래 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
CodeWhale versions before 0.8.64 contain an environment variable exposure vulnerability in the js_execution tool that fails to scrub parent process environment variables before spawning Node.js. Attackers can craft malicious JavaScript code executed by the tool to read process.env and leak API keys, cloud credentials, and authentication tokens back to the model context.
📍 영향받는 시스템
CodeWhale versions before 0.8.64
⚔️ 공격 벡터
js_execution 도구를 통해 실행되는 악성 자바스크립트 코드를 이용한 환경 변수 탈취
🛡️ 대응 방법
CodeWhale를 0.8.64 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.8.64보다 낮으면 취약한 상태입니다.
codewhale --version 2>/dev/null | grep -E '0\.[0-9]+\.[0-9]+'