PT-2020-9140 · Curling+1 · Curling+1
Publicado
2020-02-06
·
Atualizado
2021-04-13
·
CVE-2019-10789
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do curling.js anteriores à 1.1.0
Versões do curling anteriores à 1.1.0
Descrição
O problema diz respeito à injeção de comando por meio da função
run, na qual o argumento command pode ser controlado pelos usuários sem qualquer sanitização. Isso permite uma possível exploração.Recomendações
Para versões anteriores à 1.1.0, atualize para a versão 1.1.0 ou posterior para resolver o problema.
Como solução temporária, considere desativar a função
run até que um patch esteja disponível.Restrinja o acesso ao argumento
command no endpoint da API afetado para minimizar o risco de exploração.Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Curling
Curling.Js