PT-2021-19962 · Npm · @Diez/Generation

Erik Krogh Kristensen + 1 · Publicado 2021-08-17 · Atualizado 2021-09-02 · CVE-2021-32830

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

@diez/generation (versões afetadas não especificadas)

Descrição

O pacote npm @diez/generation apresenta uma vulnerabilidade de injeção de comando em seu método locateFont. Esse problema pode levar à execução remota de código se um cliente da biblioteca chamar o método vulnerável com entradas não confiáveis. É improvável que os clientes da biblioteca @diez/generation estejam cientes disso, portanto, eles podem, sem saber, escrever código que contenha uma vulnerabilidade.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Command Injection

OS Command Injection

Enumeração de Fraquezas

CWE-77

CWE-78

Identificadores relacionados

CVE-2021-32830

GHSA-8C3F-X5F9-6H62

Produtos afetados

@Diez/Generation

Referências · 8

• 🔥 https://securitylab.github.com/advisories/GHSL-2021-061-diez-generation-cmd-injection · Exploit
• https://github.com/diez/diez · Nota
• https://osv.dev/vulnerability/CVE-2021-32830 · Aviso do Fabricante
• https://t.me/cibsecurity/27448 · Publicação no Telegram
• https://npmjs.com/package/@diez/generation · Nota
• https://osv.dev/vulnerability/GHSA-8c3f-x5f9-6h62 · Aviso do Fabricante
• https://npmjs.com/package/%40diez/generation · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-32830 · Nota de Segurança