🇰🇷 한글 설명
exceljs 4.4.0 이하 버전의 Workbook.addImage() 함수에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 임의의 파일 경로를 입력하면 Node.js 프로세스가 접근 가능한 모든 파일을 읽어 생성된 워크북에 포함시킬 수 있습니다.
💡 쉬운 설명
엑셀 파일을 만드는 프로그램의 허점을 이용해, 원래 보여주면 안 되는 컴퓨터 내부의 중요한 파일들을 몰래 엑셀 파일 안에 넣어 가져갈 수 있는 문제입니다. 공격자가 파일 경로를 조작하여 시스템의 비밀 파일을 읽어낼 수 있습니다.
🇺🇸 원문 (English)
exceljs through 4.4.0 contains a path traversal vulnerability in the Workbook.addImage() function that fails to validate file paths. Attackers can supply arbitrary file paths to read any file accessible to the Node.js process and embed it in the generated workbook.
📍 영향받는 시스템
exceljs 4.4.0 이하 버전
⚔️ 공격 벡터
Workbook.addImage() 함수에 조작된 파일 경로를 전달하여 임의의 파일 읽기 수행
🛡️ 대응 방법
exceljs를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 exceljs의 버전을 확인하여 4.4.0 이하인지 체크합니다.