🇰🇷 한글 설명
cosmicstack-labs mercury-agent 1.1.13 이하 버전의 GitHub API Handler 구성 요소 내 githubRequest 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 인자 경로를 조작하여 서버가 의도하지 않은 요청을 보내도록 유도할 수 있으며, 이미 공격 코드가 공개되어 원격 공격이 가능합니다.
💡 쉬운 설명
프로그램이 외부 서비스와 통신할 때 주소를 마음대로 조작할 수 있는 결함이 있습니다. 이를 통해 해커가 서버를 조종하여 내부 네트워크나 다른 사이트에 몰래 접속하게 만들 수 있습니다.
🇺🇸 원문 (English)
A flaw has been found in cosmicstack-labs mercury-agent up to 1.1.13. Affected by this vulnerability is the function githubRequest of the file src/utils/github.ts of the component GitHub API Handler. This manipulation of the argument path causes server-side request forgery. Remote exploitation of the attack is possible. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
cosmicstack-labs mercury-agent 1.1.13 이하 모든 버전
⚔️ 공격 벡터
원격에서 githubRequest 함수의 인자 경로를 조작하여 발생하는 SSRF 공격
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나, GitHub API 호출 경로에 대한 입력값 검증 로직을 적용해야 합니다.
🔧 검증 코드
출력된 버전이 1.1.13 이하인지 확인하여 취약 여부를 판단합니다.
npm list -g --depth=0 | grep mercury-agent