node-vulnerable

이 저장소는 Endor Labs EXPOSURE용 합성 데모 타깃입니다.

• 현재 상태는 의도적으로 악용 가능한 상태입니다. EXPOSURE는 이에 대해 악용 가능 판정을 보고합니다.
• 추적 중인 CVE:
  • CVE-2018-21268 — host 인수를 통한 traceroute 명령 주입. 이 기준선에서는 악용 가능(입력 검증 없음). 업스트림 수정 없음.
  • CVE-2018-3757 — 파일 경로 인수를 통한 pdf-image 명령 주입. 이 기준선에서는 악용 불가(/render 라우트가 PDFImage를 생성하기 전에 경로를 정규식으로 검증함). 업스트림 수정 없음.
• EXPOSURE가 연 데모 PR은 src/main.js를 강화된 변형으로 교체하여 traceroute.trace 앞에 엄격한 호스트 이름 정규식을 추가하고, 취약한 의존성을 업그레이드 하지 않고 보완 통제 경로를 차단합니다.
• 수정을 적용하기 위한 고객의 작업은 클릭 한 번(검토 및 병합)입니다.

이 저장소는 프로덕션 애플리케이션이 아닙니다. 실제 GitHub 저장소를 대상으로 EXPOSURE의 "클릭 → 실제 PR 열림" 데모를 고정하는 용도로만 존재합니다.