PT-2021-12727 · Npm · Fs-Path

Chalker · Publicado 2021-03-04 · Atualizado 2021-03-25 · CVE-2020-8298

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

**Nome do software vulnerável e versões afetadas:

Versões do módulo fs-path anteriores à 0.0.25

Descrição:

O problema diz respeito à injeção de comandos por meio de entradas fornecidas pelo usuário através de métodos específicos. Os métodos copy, copySync, remove e removeSync estão vulneráveis a esse tipo de ataque.

Recomendações:

Para versões anteriores à 0.0.25, atualize para a versão 0.0.25 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso dos métodos copy, copySync, remove e removeSync até que um patch seja aplicado. Evite usar entradas fornecidas pelo usuário nesses métodos para minimizar o risco de exploração.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2020-8298

GHSA-8MRF-64FW-2X75

Produtos afetados

Fs-Path

Referências · 6

• 🔥 https://hackerone.com/reports/324491 · Exploit
• 🔥❌ https://github.com/pillys/fs-path/pull/6 · Exploit, Deleted
• https://osv.dev/vulnerability/CVE-2020-8298 · Aviso do Fabricante
• ❌ https://github.com/pillys/fs-path/commit/88ff5ee51046bb2c5d5e9c5afe6819b032092ce7 · Correção, Deleted
• https://nvd.nist.gov/vuln/detail/CVE-2020-8298 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-8mrf-64fw-2x75 · Aviso do Fabricante