PT-2021-15454 · Madge · Madge

Alessio Della Libera + 1 · Publicado 2021-03-09 · Atualizado 2021-03-13 · CVE-2021-23352

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do madge anteriores à 4.0.1

Descrição

A vulnerabilidade afeta o pacote madge, permitindo que um invasor especifique um caminho personalizado do Graphviz por meio do parâmetro de opção graphVizPath. Quando as funções .image(), .svg() ou .dot() são chamadas, o caminho especificado é executado pela função childprocess.exec. Isso pode potencialmente levar à execução de comandos arbitrários.

Recomendações

Para versões do madge anteriores à 4.0.1, considere desativar a função childprocess.exec ou restringir o uso do parâmetro de opção graphVizPath até que um patch esteja disponível. Evite usar o parâmetro de opção graphVizPath nos pontos de extremidade da API afetados até que o problema seja resolvido. Atualize para a versão 4.0.1 ou posterior para resolver o problema.

Exploit

Correção

SQL injection

Command Injection

Enumeração de Fraquezas

CWE-89

CWE-77

Identificadores relacionados

CVE-2021-23352

GHSA-753C-PHHG-CJ29

SNYK-JS-MADGE-1082875

Produtos afetados

Madge

Referências · 10

• 🔥 https://snyk.io/vuln/SNYK-JS-MADGE-1082875 · Exploit
• https://github.com/pahen/madge/blob/master/lib/graph.js%23L27 · Nota
• https://github.com/pahen/madge/commit/da5cbc9ab30372d687fa7c324b22af7ffa5c6332 · Correção
• https://github.com/pahen/madge/blob/master/lib/graph.js#L27 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-23352 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-753c-phhg-cj29 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-23352 · Aviso do Fabricante
• https://t.me/cvenotify/11049 · Publicação no Telegram
• https://t.me/cibsecurity/24656 · Publicação no Telegram
• https://t.me/cvenotify/11291 · Publicação no Telegram