PT-2022-17496 · Accesslog · Accesslog

Omnitaint · Publicado 2022-03-17 · Atualizado 2022-03-23 · CVE-2022-25760

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

todas as versões do accesslog

Descrição

O problema decorre do uso do construtor Function sem sanitização de entradas na função construtora exportada pelo pacote. Se uma entrada controlada pelo invasor for fornecida à opção format, é possível que um invasor execute código JavaScript arbitrário no host.

Recomendações

Para todas as versões, considere desativar o uso do construtor Function com entradas controladas pelo usuário até que uma correção esteja disponível. Restrinja o acesso à opção format da função construtora exportada do pacote para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2022-25760

GHSA-8M2F-74R2-X3F2

SNYK-JS-ACCESSLOG-2312099

Produtos afetados

Accesslog

Referências · 7

• 🔥 https://snyk.io/vuln/SNYK-JS-ACCESSLOG-2312099 · Exploit
• https://github.com/carlos8f/node-accesslog · Nota
• https://github.com/carlos8f/node-accesslog/blob/master/lib/compile.js%23L6 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-25760 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-25760 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8m2f-74r2-x3f2 · Aviso do Fabricante
• https://t.me/cibsecurity/39137 · Publicação no Telegram