Описание
Уязвимость функции child_process exec кроссплатформенной сетевой утилиты Node.js Network существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды
Вендор
NPM, Inc.
Наименование ПО
Network
Версия ПО
до 0.7.0 (Network)
Тип ПО
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)
Возможные меры по устранению уязвимости
Использование рекомендаций:
https://github.com/tomas/network/commit/5599ed6d6ff1571a5ccadea775430c131f381de7
https://github.com/tomas/network/commit/6ec8713580938ab4666df2f2d0f3399891ed2ad7
https://github.com/tomas/network/commit/72c523265940fe279eb0050d441522628f8988e5
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 82%
0.01689
Низкий
7.3 High
CVSS3
7.5 High
CVSS2
Связанные уязвимости
CVSS3: 7.3
nvd
около 2 лет назад
Versions of the package network before 0.7.0 are vulnerable to Arbitrary Command Injection due to use of the child_process exec function without input sanitization. If (attacker-controlled) user input is given to the mac_address_for function of the package, it is possible for the attacker to execute arbitrary commands on the operating system that this package is being run on.
CVSS3: 7.3
github
около 2 лет назад
network Arbitrary Command Injection vulnerability
EPSS
Процентиль: 82%
0.01689
Низкий
7.3 High
CVSS3
7.5 High
CVSS2