PT-2021-15528 · Npm · Edge.Js

Alessio Della Libera · Publicado 2021-09-21 · Atualizado 2022-05-03 · CVE-2021-23443

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do edge.js anteriores à 5.3.2

Descrição

Uma falha de confusão de tipos pode ser explorada para contornar a sanitização de entradas quando a entrada a ser renderizada é uma matriz, mesmo que sejam usados {{ }}. Isso afeta o pacote edge.js, que é um mecanismo de modelos para Node.js.

Recomendações

Para versões anteriores à 5.3.2, atualize para a versão 5.3.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir a entrada a ser renderizada a strings ou SafeValues para minimizar o risco de exploração.

Exploit

Correção

Type Confusion

XSS

Enumeração de Fraquezas

CWE-843

CWE-79

Identificadores relacionados

CVE-2021-23443

GHSA-55R9-7MF8-M382

SNYK-JS-EDGEJS-1579556

Produtos afetados

Edge.Js

Referências · 7

• 🔥 https://snyk.io/vuln/SNYK-JS-EDGEJS-1579556 · Exploit
• https://github.com/edge-js/edge/commit/fa2c7fde86327aeae232752e89a6e37e2e469e21 · Correção
• https://github.com/edge-js/edge · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-23443 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-23443 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-55r9-7mf8-m382 · Aviso do Fabricante
• https://t.me/cibsecurity/29193 · Publicação no Telegram