🇰🇷 한글 설명
bestzip 2.2.6 및 3.0.2 버전의 nativeZip 함수에서 인자 주입(Argument Injection) 취약점이 발견되었습니다. 공격자가 조작된 소스 항목과 악의적인 대상 경로를 제공하면 Info-ZIP 백엔드에 임의의 인자를 주입하여 Node.js 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
압축 프로그램의 특정 기능에 잘못된 명령어를 끼워 넣을 수 있는 약점이 있습니다. 이를 통해 해커가 사용자의 컴퓨터에서 몰래 악성 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
bestzip versions 2.2.6 and 3.0.2 contain an argument injection vulnerability in the nativeZip function that allows attackers to inject arbitrary arguments to the Info-ZIP backend. Attackers can supply a malicious destination path combined with crafted source entries to execute arbitrary commands with Node.js process privileges. Fixed in 2.2.7 and 3.0.3.
📍 영향받는 시스템
bestzip versions 2.2.6 and 3.0.2
⚔️ 공격 벡터
조작된 파일 경로와 소스 항목을 이용한 Info-ZIP 백엔드 대상 인자 주입
🛡️ 대응 방법
bestzip 버전을 2.2.7 또는 3.0.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 bestzip의 버전이 2.2.6 또는 3.0.2인지 확인합니다.