PT-2021-14384 · Rsshub · Rsshub

Publicado 2021-01-26 · Atualizado 2021-10-12 · CVE-2021-21278

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do RSSHub anteriores à 7f1c430

Descrição:

O RSSHub é um gerador de feeds RSS de código aberto, fácil de usar e extensível. O problema decorre do fato de algumas rotas utilizarem eval ou o construtor de funções, que podem ser injetados pelo site de destino com código malicioso, causando problemas de segurança no lado do servidor.

Recomendações:

Para versões anteriores à 7f1c430, atualize para a versão 7f1c430 ou posterior o mais rápido possível. Como solução temporária, considere desativar as rotas que usam eval ou Function constructor até que o problema seja resolvido. Além disso, aplicar a regra no-new-func ao eslint pode ajudar a mitigar o risco.

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

CVE-2021-21278

GHSA-PGJJ-866W-FC5C

Produtos afetados

Rsshub

Referências · 9

• https://github.com/DIYgod/RSSHub/security/advisories/GHSA-pgjj-866w-fc5c · Nota
• https://github.com/DIYgod/RSSHub/commit/7f1c43094e8a82e4d8f036ff7d42568fed00699d · Correção
• https://github.com/DIYgod/RSSHub · Nota
• https://npmjs.com/package/rsshub · Nota
• https://osv.dev/vulnerability/GHSA-pgjj-866w-fc5c · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21278 · Nota de Segurança
• https://t.me/cibsecurity/22684 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-21278 · Aviso do Fabricante
• https://t.me/cvenotify/8989 · Publicação no Telegram