PT-2021-12660 · Unknown · Platform-Command+1

Publicado 2021-02-08 · Atualizado 2021-07-21 · CVE-2020-7782

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

spritesheet-js (versões afetadas não especificadas)

Descrição:

O problema afeta o pacote spritesheet-js devido à sua dependência de um pacote vulnerável chamado platform-command. O ponto de injeção está localizado na linha 32 do arquivo lib/generator.js, que é acionado pela função de entrada principal do pacote.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Special Elements Injection

OS Command Injection

Enumeração de Fraquezas

CWE-74

CWE-78

Identificadores relacionados

CVE-2020-7782

GHSA-333X-QR3V-G4XX

Produtos afetados

Platform-Command

Spritesheet-Js

Referências · 7

• 🔥 https://snyk.io/vuln/SNYK-JS-SPRITESHEETJS-1048333 · Exploit
• https://github.com/krzysztof-o/spritesheet.js/blob/master/lib/generator.js%23L32 · Nota
• https://github.com/krzysztof-o/spritesheet.js/blob/master/lib/generator.js#23L32 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-7782 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-333x-qr3v-g4xx · Aviso do Fabricante
• https://npmjs.com/package/spritesheet-js · Nota
• https://t.me/cibsecurity/23252 · Publicação no Telegram