PT-2021-11528 · Npm · Geojson2Kml
Publicado
2021-02-23
·
Atualizado
2021-07-21
·
CVE-2020-28429
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
Versões do geojson2kml anteriores à 0.1.1
Descrição:
A vulnerabilidade está relacionada à injeção de comando por meio do arquivo index.js no pacote geojson2kml. É fornecido um exemplo de exploração utilizando a função
require para executar um comando, especificamente var a = require(“geojson2kml”); a(“./”, “& touch JHU”, function(){}). Isso demonstra como um invasor poderia potencialmente injetar comandos maliciosos.Recomendações:
Para versões anteriores à 0.1.1, considere desativar a funcionalidade vulnerável no arquivo index.js como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à função
require com o pacote geojson2kml para minimizar o risco de exploração. Evite usar a função a com entradas não confiáveis no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
Command Injection
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Geojson2Kml