PT-2021-15458 · Unknown · Kill-Process-By-Name
Omnitaint
·
Publicado
2021-03-15
·
Atualizado
2021-03-19
·
CVE-2021-23356
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Todas as versões do kill-process-by-name
Descrição
A vulnerabilidade permite que um invasor execute comandos arbitrários caso seja fornecida uma entrada de usuário controlada por ele. Isso se deve ao uso da função
exec do child process sem sanitização de entrada no arquivo index.js.Recomendações
Para todas as versões, considere desativar o uso da função exec do child process no arquivo index.js até que um patch esteja disponível. Restrinja o acesso ao arquivo index.js para minimizar o risco de exploração. Evite usar entradas de usuário não sanitizadas na função afetada para impedir a execução de comandos arbitrários. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
Command Injection
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Kill-Process-By-Name