PT-2022-16878 · Npm+4 · Moment.Js+5

Ichernev · Publicado 2022-04-04 · Atualizado 2026-06-04 · CVE-2022-24785

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:C/A:N

Nome do software vulnerável e versões afetadas

Versões 1.0.1 a 2.29.1 do Moment.js

Descrição

Uma vulnerabilidade de traversal de caminho afeta os usuários do Moment.js via npm (servidor), especialmente se uma string de localidade fornecida pelo usuário for usada diretamente para alterar a localidade do Moment. Essa falha permite que um invasor não autenticado forneça um caminho do sistema de arquivos como entrada inválida. O problema foi corrigido na versão 2.29.2.

Recomendações

Para as versões 1.0.1 a 2.29.1, atualize para a versão 2.29.2 para resolver o problema.

Como solução temporária, sanitize o nome de local fornecido pelo usuário antes de passá-lo para o Moment.js.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-27

CWE-22

Identificadores relacionados

BDU:2026-00718

CVE-2022-24785

DLA-3295-1

GHSA-8HFJ-J24R-96C4

MGASA-2022-0323

MGASA-2024-0067

RHSA-2022:4918

RHSA-2022:4919

RHSA-2022:6272

RHSA-2022:6277

RHSA-2023:0076

RHSA-2023:1043

RHSA-2023:1044

RHSA-2023:1045

RHSA-2025:4226

RHSA-2025:4437

USN-5559-1

Produtos afetados

Astra Linux

Bitbucket

Confluence

Linuxmint

Moment.Js

Ubuntu

Referências · 64

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24785.json · Exploit
• https://github.com/moment/moment/commit/4211bfc8f15746be4019bba557e29a7ba83d54c5 · Correção
• https://github.com/moment/moment/security/advisories/GHSA-8hfj-j24r-96c4 · Aviso do Fabricante
• https://github.com/moment/moment · Nota
• https://github.com/jupyter/notebook/security/advisories/GHSA-v7vq-3x77-87vg · Nota
• https://github.com/jupyter/notebook/security/advisories/GHSA-m87f-39q9-6f55 · Nota
• https://t.me/ckure/14369 · Publicação no Telegram
• https://twitter.com/fletch_ai/status/1810539492291604713 · Publicação no Twitter
• https://jira.atlassian.com/browse/BSERV-20250 · Nota
• https://bugs.mageia.org/show_bug.cgi?id=30664 · Nota
• https://osv.dev/vulnerability/MGASA-2022-0323 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-24785 · Aviso do Fabricante
• https://advisories.mageia.org/MGASA-2022-0323.html · Nota de Segurança
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24785 · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/6QIO6YNLTK2T7SPKDS4JEL45FANLNC2Q · Aviso do Fabricante