Patch Ticker

Kroki TikZ 보안 모드 임의 파일 읽기 취약점

다이어그램 서버에서 비밀 파일 내용이 누구에게나 보일 수 있습니다.

요약

Kroki는 텍스트 설명으로 다이어그램을 만드는 도구입니다. KROKI_SAFE_MODE를 켠 상태의 TikZ 렌더러가 인증 없이 보낸 LaTeX로 컨테이너가 읽을 수 있는 파일 내용을 SVG에 드러낼 수 있습니다.

해당 조건

  • KROKI_SAFE_MODE 활성화
  • TikZ 백엔드 사용

대처법

0.31.2 이상으로 업데이트하세요.

대상 제품과 운영체제

  • kroki

CVE 번호

원문 링크

시각

처음 게시

처음 확인