PT-2020-21248 · Unknown · Domokeeper
Publicado
2020-09-03
·
Atualizado
2020-09-03
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões do domokeeper (todas)
Descrição
A vulnerabilidade permite a inclusão de arquivos locais (Local File Inclusion), em que a rota
/plugin/ passa um parâmetro GET não sanitizado para uma chamada require(), retornando a saída na resposta do servidor. Isso poderia permitir que invasores carregassem código indesejado ou extraíssem informações de arquivos .json.Recomendações
Para todas as versões, considere usar um pacote alternativo até que uma correção seja disponibilizada. Como solução temporária, considere restringir o acesso à rota
/plugin/ para minimizar o risco de exploração. Evite usar a função require() com entradas não sanitizadas até que o problema seja resolvido. Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Domokeeper