PT-2020-19722 · Npm · Express-Fileupload

Po6Ix · Publicado 2020-07-30 · Atualizado 2026-02-04 · CVE-2020-7699

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do express-fileupload anteriores à 1.1.8

Descrição

A vulnerabilidade permite ataques de negação de serviço ou a execução de código arbitrário quando uma solicitação HTTP corrompida é enviada e a opção parseNested está ativada.

Recomendações

Para versões do express-fileupload anteriores à 1.1.8, atualize para a versão 1.1.8 ou posterior para resolver o problema. Como solução temporária, considere desativar a opção parseNested até que um patch esteja disponível.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

CWE-915

Identificadores relacionados

CVE-2020-7699

GHSA-9WCG-JRWF-8GG7

SNYK-JS-EXPRESSFILEUPLOAD-595969

Produtos afetados

Express-Fileupload

Referências · 10

• 🔥 https://github.com/richardgirges/express-fileupload/issues/236 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JS-EXPRESSFILEUPLOAD-595969 · Exploit
• https://github.com/richardgirges/express-fileupload/commit/db495357d7557ceb5c034de91a7a574bd12f9b9f · Nota
• https://github.com/richardgirges/express-fileupload/pull/237 · Nota
• https://github.com/richardgirges/express-fileupload · Nota
• https://osv.dev/vulnerability/GHSA-9wcg-jrwf-8gg7 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-7699 · Aviso do Fabricante
• https://security.netapp.com/advisory/ntap-20200821-0003 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-7699 · Nota de Segurança
• https://t.me/aptreports/25683 · Publicação no Telegram