PT-2021-7971 · Node.Js · Node-Red

CVE-2021-21297 · Publicado 2021-02-26 · Atualizado 2022-10-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões 1.2.7 e anteriores do Node-RED

Descrição

O problema diz respeito a uma vulnerabilidade do tipo “Prototype Pollution” na API de administração do Node-RED, uma ferramenta de programação low-code para aplicativos orientados a eventos desenvolvidos com Node.js. Uma solicitação malformada pode alterar o protótipo do objeto JavaScript padrão, afetando potencialmente o comportamento padrão do ambiente de execução do Node-RED.

Recomendações

Para as versões 1.2.7 e anteriores do Node-RED, atualize para a versão 1.2.8 para resolver o problema.

Como solução alternativa temporária, certifique-se de que apenas usuários autorizados possam acessar a URL do editor.

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-915

CWE-1321

Identificadores relacionados

BDU:2023-08025

CVE-2021-21297

GHSA-XP9C-82X8-7F67

Produtos afetados

Node-Red

Referências · 14

• https://github.com/node-red/node-red/security/advisories/GHSA-xp9c-82x8-7f67 · Nota
• https://github.com/node-red/node-red/releases/tag/1.2.8 · Nota
• https://github.com/node-red/node-red · Nota
• https://osv.dev/vulnerability/CVE-2021-21297 · Aviso do Fabricante
• https://npmjs.com/package/%40node-red/runtime · Nota
• https://t.me/cibsecurity/24236 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-21297 · Nota de Segurança
• https://npmjs.com/package/@node-red/runtime · Nota
• https://osv.dev/vulnerability/GHSA-xp9c-82x8-7f67 · Aviso do Fabricante
• https://npmjs.com/package/%40node-red/editor-api · Nota
• https://bdu.fstec.ru/vul/2023-08025 · Nota de Segurança
• https://t.me/cvenotify/19740 · Publicação no Telegram
• https://vuldb.com/?id.170478 · Nota
• https://npmjs.com/package/@node-red/editor-api · Nota