🇰🇷 한글 설명
mammoth(aka mammoth.js) 1.12.2 미만 버전에서 문서 스타일을 읽을 때 프로토타입 오염(Prototype Pollution) 취약점이 발생합니다. 공격자가 조작된 .docx 파일을 통해 Object.prototype에 임의 속성을 추가할 수 있으며, 특정 조건에서 서버의 로컬 파일을 유출할 수도 있습니다.
💡 쉬운 설명
악성 코드가 담긴 워드 파일을 읽는 과정에서 프로그램의 기본 설정을 망가뜨려 시스템을 조작할 수 있는 문제입니다. 이를 통해 공격자가 서버에 저장된 중요한 파일을 몰래 훔쳐볼 위험이 있습니다.
🇺🇸 원문 (English)
mammoth (aka mammoth.js) before 1.12.2 is vulnerable to prototype pollution when reading the styles defined in a document. Converting a crafted .docx file allows an attacker to add arbitrary properties to Object.prototype. In 1.11.0 through 1.12.1, applications that convert further documents in the same process and return the converted HTML can also disclose the contents of local server files (to the party supplying the documents) by setting externalFileAccess to true.
📍 영향받는 시스템
mammoth (mammoth.js) 1.12.2 미만 버전
⚔️ 공격 벡터
조작된 .docx 파일을 시스템에 업로드하여 문서 변환 기능을 실행함
🛡️ 대응 방법
mammoth 라이브러리를 1.12.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.12.2보다 낮은지 확인하십시오.
npm list mammoth | grep mammoth
💻 영향받는 소프트웨어
IBM WebSphere Application Server