PT-2021-24466 · Unknown+1 · Nodemailer+1

Publicado 2021-09-20 · Atualizado 2021-09-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.8

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Ghost anteriores à 4.15.0

Descrição:

O problema afeta sites que utilizam o transporte sendmail como parte de sua configuração de mail, tornando-os vulneráveis à injeção remota de comandos devido a uma falha na dependência nodemailer. O Ghost utiliza por padrão o transporte direct, portanto, essa vulnerabilidade só pode ser explorada se o transporte sendmail for explicitamente utilizado.

Recomendações:

Para versões anteriores à 4.15.0, atualize para a versão 4.15.0 o mais rápido possível.

Como solução temporária, considere usar um transporte de e-mail alternativo, conforme descrito na documentação.

Correção

Argument Injection

Enumeração de Fraquezas

CWE-88

Identificadores relacionados

GHSA-WFRJ-QQC2-83CM

Produtos afetados

Ghost

Nodemailer

Referências · 5

• https://github.com/TryGhost/Ghost · Nota
• https://github.com/TryGhost/Ghost/security/advisories/GHSA-wfrj-qqc2-83cm · Nota
• https://github.com/TryGhost/Ghost/commit/93e4b2eafd18bc8e4c17924e0824e73617e7940c · Nota
• https://osv.dev/vulnerability/GHSA-wfrj-qqc2-83cm · Aviso do Fabricante
• https://github.com/advisories/GHSA-48ww-j4fc-435p · Nota