PT-2020-8034 · Jsrender · Jsrender

Publicado 2020-09-01 · Atualizado 2020-09-01 · CVE-2016-3942

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

**Nome do software vulnerável e versões afetadas:

Versões do jsrender anteriores à 0.9.74

Descrição:

A vulnerabilidade permite a execução remota de código quando o jsrender é utilizado com modelos do lado do cliente fornecidos pelo servidor que incorporam dinamicamente entradas do usuário. Isso pode ser explorado por meio de sintaxe específica de modelos, como o loop for e instruções condicionais, o que pode levar à execução de código arbitrário.

Recomendações:

Atualize para a versão 0.9.74 ou posterior.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2016-3942

GHSA-R87W-47M8-22W3

Produtos afetados

Jsrender

Referências · 6

• https://github.com/BorisMoore/jsrender/commit/f984e139deb0a7648d5b543860ec652c21f6dcf6 · Nota
• https://github.com/BorisMoore/jsrender · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2016-3942 · Nota de Segurança
• https://npmjs.com/advisories/97 · Nota
• https://snyk.io/vuln/SNYK-DOTNET-JSRENDER-60173 · Nota
• https://osv.dev/vulnerability/GHSA-r87w-47m8-22w3 · Aviso do Fabricante