Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-08025

Опубликовано: 26 фев. 2021
Источник: fstec
CVSS3: 7.7
CVSS2: 6.8
EPSS Низкий

Описание

Уязвимость реализации прикладного программного интерфейса графического программного средства создания потоковых приложений Node-Red связана с недостаточным контролем модификации динамически определённых характеристик объекта. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, изменить прототип объекта JavaScript по умолчанию

Вендор

OpenJS Foundation

Наименование ПО

Node-Red

Версия ПО

до 1.2.8 (Node-Red)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,7)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;
- ограничение доступа к командной строке для недоверенных пользователей;
- использование антивирусных средств защиты;
- мониторинг действий пользователей;
- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;
- использование систем управления доступом.
Использование рекомендаций:
https://github.com/node-red/node-red/security/advisories/GHSA-xp9c-82x8-7f67

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 55%
0.00327
Низкий

7.7 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 7.7
nvd
почти 5 лет назад

Node-Red is a low-code programming for event-driven applications built using nodejs. Node-RED 1.2.7 and earlier contains a Prototype Pollution vulnerability in the admin API. A badly formed request can modify the prototype of the default JavaScript Object with the potential to affect the default behaviour of the Node-RED runtime. The vulnerability is patched in the 1.2.8 release. A workaround is to ensure only authorized users are able to access the editor url.

CVSS3: 7.7
github
почти 5 лет назад

Prototype Pollution in Node-Red

EPSS

Процентиль: 55%
0.00327
Низкий

7.7 High

CVSS3

6.8 Medium

CVSS2