Unknown · Check-Jsonschema · CVE-2024-53848
Nome do software vulnerável e versões afetadas:
Versões do check-jsonschema anteriores à 0.30.0
Descrição:
A estratégia de cache padrão no check-jsonschema usa o nome base de um esquema remoto como nome do arquivo no cache. Essa nomenclatura permite conflitos, possibilitando que um invasor insira seu próprio esquema no cache se um usuário executar o check-jsonschema contra uma URL de esquema maliciosa. Esse tipo de ataque de confusão de cache poderia ser usado para permitir que dados passem pela validação, quando deveriam ter sido rejeitados.
Recomendações:
Para versões anteriores à 0.30.0, os usuários podem usar o sinalizador `--no-cache` para desativar o cache.
Para versões anteriores à 0.30.0, os usuários podem usar o sinalizador `--cache-filename` para selecionar nomes de arquivos a serem usados no cache ou para garantir que outros usos não sobrescrevam o esquema armazenado em cache.
Para versões anteriores à 0.30.0, os usuários podem baixar explicitamente o esquema antes do uso como um arquivo local, como em `curl -LOs https://example.org/schema.json; check-jsonschema --schemafile ./schema.json`
Atualize para a versão 0.30.0 para corrigir o problema.