PT-2021-15435 · Npm · @Graphql-Tools/Git-Loader

Dotan Simha + 1 · Publicado 2021-01-20 · Atualizado 2022-05-27 · CVE-2021-23326

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do @graphql-tools/git-loader anteriores à 6.2.6

Descrição

A vulnerabilidade permite a injeção de comandos arbitrários devido ao uso de exec e execSync no arquivo load-git.ts. Isso decorre do design do pacote, que permite que um invasor injete comandos maliciosos.

Recomendações

Para versões anteriores à 6.2.6, atualize para a versão 6.2.6 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo load-git.ts ou desativar o uso das funções exec e execSync até que um patch seja aplicado.

Correção

Command Injection

OS Command Injection

Enumeração de Fraquezas

CWE-77

CWE-78

Identificadores relacionados

CVE-2021-23326

GHSA-VHHW-XJVF-WPRR

SNYK-JS-GRAPHQLTOOLSGITLOADER-1062543

Produtos afetados

@Graphql-Tools/Git-Loader

Referências · 11

• https://github.com/ardatan/graphql-tools/commit/6a966beee8ca8b2f4adfe93318b96e4a5c501eac · Correção
• https://github.com/ardatan/graphql-tools/pull/2470 · Correção
• https://github.com/ardatan/graphql-tools/releases/tag/%40graphql-tools%2Fgit-loader%406.2.6 · Nota
• https://osv.dev/vulnerability/GHSA-vhhw-xjvf-wprr · Aviso do Fabricante
• https://t.me/cibsecurity/22330 · Publicação no Telegram
• https://t.me/cvenotify/30858 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-23326 · Nota de Segurança
• https://snyk.io/vuln/SNYK-JS-GRAPHQLTOOLSGITLOADER-1062543 · Nota
• https://osv.dev/vulnerability/CVE-2021-23326 · Aviso do Fabricante
• https://advisory.checkmarx.net/advisory/CX-2020-4300 · Nota
• https://t.me/cvenotify/8894 · Publicação no Telegram