Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-02843

Опубликовано: 10 фев. 2021
Источник: fstec
CVSS3: 9
CVSS2: 9.3
EPSS Низкий

Описание

Уязвимость функций VisitMixin и visitMixinBlock препроцессора HTML Pug связана с недостатками процедуры нейтрализации особых элементов в выходных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Pug
pug-code-gen

Версия ПО

до 3.0.1 (Pug)
до 2.0.3 (pug-code-gen)
от 3.0.0 до 3.0.2 (pug-code-gen)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://github.com/pugjs/pug/pull/3314

Статус уязвимости

Подтверждена в ходе исследований

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 89%
0.04259
Низкий

9 Critical

CVSS3

9.3 Critical

CVSS2

Связанные уязвимости

CVSS3: 9
redhat
почти 5 лет назад

Pug is an npm package which is a high-performance template engine. In pug before version 3.0.1, if a remote attacker was able to control the `pretty` option of the pug compiler, e.g. if you spread a user provided object such as the query parameters of a request into the pug template inputs, it was possible for them to achieve remote code execution on the node.js backend. This is fixed in version 3.0.1. This advisory applies to multiple pug packages including "pug", "pug-code-gen". pug-code-gen has a backported fix at version 2.0.3. This advisory is not exploitable if there is no way for un-trusted input to be passed to pug as the `pretty` option, e.g. if you compile templates in advance before applying user input to them, you do not need to upgrade.

CVSS3: 6.8
nvd
почти 5 лет назад

Pug is an npm package which is a high-performance template engine. In pug before version 3.0.1, if a remote attacker was able to control the `pretty` option of the pug compiler, e.g. if you spread a user provided object such as the query parameters of a request into the pug template inputs, it was possible for them to achieve remote code execution on the node.js backend. This is fixed in version 3.0.1. This advisory applies to multiple pug packages including "pug", "pug-code-gen". pug-code-gen has a backported fix at version 2.0.3. This advisory is not exploitable if there is no way for un-trusted input to be passed to pug as the `pretty` option, e.g. if you compile templates in advance before applying user input to them, you do not need to upgrade.

CVSS3: 6.8
github
почти 5 лет назад

Remote code execution via the `pretty` option.

EPSS

Процентиль: 89%
0.04259
Низкий

9 Critical

CVSS3

9.3 Critical

CVSS2