PT-2022-16138 · Unknown · Class-Validator+3

Lumakernel · Publicado 2022-02-07 · Atualizado 2023-07-13 · CVE-2022-23624

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Frourio-express anteriores à v0.26.0

Descrição

O Frourio-express é uma estrutura full stack minimalista para TypeScript. Os usuários que utilizam versões do Frourio-express anteriores à v0.26.0 e integram o class-validator por meio da pasta validators/ estão sujeitos a um problema de validação de entrada. Os validadores não funcionam corretamente para corpos de solicitação e consultas em situações específicas, e algumas entradas não são validadas de forma alguma.

Recomendações

Atualize o Frourio-express para a v0.26.0 ou posterior.

Instale class-transformer e reflect-metadata em seu projeto.

Como solução temporária, considere validar objetos de solicitações com class-transformer nos controladores por conta própria ou evite usar validadores.

Exploit

Correção

Prototype Pollution

RCE

Enumeração de Fraquezas

CWE-1321

CWE-20

Identificadores relacionados

CVE-2022-23624

GHSA-MMJ4-777P-FPQ9

Produtos afetados

Frourio-Express

Class-Transformer

Class-Validator

Reflect-Metadata

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23624.json · Exploit
• https://github.com/frouriojs/frourio-express/security/advisories/GHSA-mmj4-777p-fpq9 · Nota
• https://github.com/frouriojs/frourio-express · Nota
• https://github.com/frouriojs/frourio-express/commit/73ded5c6f9f1c126c0cb2d05c0505e9e4db142d2 · Correção
• https://t.me/cvenotify/26413 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-mmj4-777p-fpq9 · Aviso do Fabricante
• https://t.me/cibsecurity/36985 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-23624 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-23624 · Aviso do Fabricante