🇰🇷 한글 설명
TanStack devtools-vite 0.7.0 버전의 Development Devtools Event Bus 컴포넌트 내 installPackage 함수에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 packageName 인자를 조작하여 로컬에서 임의의 명령을 실행할 수 있습니다. 공격 난이도는 높지만 이미 익스플로잇 코드가 공개된 상태입니다.
💡 쉬운 설명
개발 도구의 특정 기능을 사용할 때 입력값을 조작하여 컴퓨터에 몰래 명령을 내릴 수 있는 보안 약점입니다. 공격자가 시스템을 제어할 위험이 있지만, 직접 컴퓨터를 사용 중인 상태에서 복잡한 과정을 거쳐야 실행 가능합니다.
🇺🇸 원문 (English)
A vulnerability was found in TanStack devtools-vite 0.7.0. Affected by this issue is the function installPackage of the file packages/devtools-bundler-core/src/package-manager.ts of the component Development Devtools Event Bus. The manipulation of the argument packageName results in os command injection. Attacking locally is a requirement. A high complexity level is associated with this attack. The exploitation is known to be difficult. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
TanStack devtools-vite 0.7.0
⚔️ 공격 벡터
로컬 환경에서 installPackage 함수의 packageName 인자에 악의적인 명령어를 삽입하여 실행
🛡️ 대응 방법
해당 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하거나 사용을 중단하십시오.