PT-2020-21082 · Plotter · Plotter
Publicado
2020-09-04
·
Atualizado
2020-09-04
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
todas as versões do plotter
Descrição
A vulnerabilidade diz respeito a um problema de injeção de comando em que o pacote plotter não sanitiza adequadamente os títulos dos gráficos. Isso poderia permitir que invasores executassem código arbitrário no sistema caso fosse utilizado um valor de título fornecido pelo usuário. Uma demonstração de conceito mostra a criação de um arquivo ‘testing’ no diretório atual ao explorar essa vulnerabilidade.
Recomendações
Para todas as versões, considere usar um pacote alternativo até que uma correção seja disponibilizada. Como solução temporária, considere validar e sanitizar todas as entradas fornecidas pelo usuário para a variável
title, a fim de minimizar o risco de exploração.Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Plotter