PT-2022-16137 · Unknown+1 · Class-Validator+3

Lumakernel · Publicado 2022-02-07 · Atualizado 2023-07-13 · CVE-2022-23623

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Frourio anteriores à v0.26.0

Descrição

O Frourio é uma estrutura full-stack para TypeScript. Os usuários que utilizam versões do Frourio anteriores à v0.26.0 e integram o class-validator por meio da pasta validators/ estão sujeitos a um problema de validação de entrada. Os validadores não funcionam corretamente para corpos de solicitação e consultas em situações específicas, e algumas entradas não são validadas de forma alguma.

Recomendações

Atualize o Frourio para a v0.26.0 ou posterior e instale class-transformer e reflect-metadata.

Como solução alternativa temporária, considere validar manualmente os objetos das solicitações com class-transformer nos controladores ou evite usar validadores.

Exploit

Correção

Prototype Pollution

RCE

Enumeração de Fraquezas

CWE-1321

CWE-20

Identificadores relacionados

CVE-2022-23623

GHSA-8XXM-H73R-GHFJ

Produtos afetados

Frourio

Class-Transformer

Class-Validator

Reflect-Metadata

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23623.json · Exploit
• https://github.com/frouriojs/frourio/security/advisories/GHSA-8xxm-h73r-ghfj · Nota
• https://github.com/frouriojs/frourio/commit/7c19ac5363305b81b1c6b5232620228763d427af · Correção
• https://github.com/frouriojs/frourio · Nota
• https://t.me/cvenotify/26414 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-23623 · Nota de Segurança
• https://t.me/cibsecurity/36984 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-8xxm-h73r-ghfj · Aviso do Fabricante
• https://t.me/cvenotify/26672 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-23623 · Aviso do Fabricante