🇰🇷 한글 설명
alibaba-fusion 1.27.34 이하 버전의 components/dialog/index.tsx 파일 내 deepMerge 컴포넌트에서 보안 결함이 발견되었습니다. locale 인자를 조작하여 객체의 프로토타입 속성을 부적절하게 수정할 수 있는 프로토타입 오염 취약점입니다. 이 공격은 원격에서 수행될 수 있습니다.
💡 쉬운 설명
프로그램의 기본 설정값을 몰래 바꿔치기하여 시스템을 오작동하게 만드는 취약점입니다. 해커가 멀리 떨어진 곳에서 원격으로 이 설정을 조작할 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in alibaba-fusion next up to 1.27.34. This issue affects the function ConfigProvider.getContextProps of the file components/dialog/index.tsx of the component deepMerge. Performing a manipulation of the argument locale results in improperly controlled modification of object prototype attributes. The attack may be initiated remotely. The reported GitHub issue was closed automatically due to inactivity.
📍 영향받는 시스템
alibaba-fusion 1.27.34 이하 버전
⚔️ 공격 벡터
원격에서 locale 인자 값을 조작하여 프로토타입 속성 변경
🛡️ 대응 방법
alibaba-fusion을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.27.34 이하인지 확인하여 취약 여부를 판단합니다.
npm list alibaba-fusion | grep -E 'alibaba-fusion@([0-9]+\.[0-9]+\.[0-9]+)'