PT-2022-19856 · Unknown · Feathers-Sequelize

Frank Breedijk + 3 · Publicado 2022-10-25 · Atualizado 2024-01-02 · CVE-2022-29823

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Feather-Sequelize (versões afetadas não especificadas)

Descrição

O método cleanQuery no Feather-Sequelize utiliza uma lógica recursiva insegura para filtrar chaves não suportadas do objeto de consulta, resultando em uma execução remota de código (RCE) com os privilégios da aplicação.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2022-29823

GHSA-P5M3-27VH-52J4

Produtos afetados

Feathers-Sequelize

Referências · 9

• https://github.com/feathersjs-ecosystem/feathers-sequelize · Nota
• https://github.com/feathersjs-ecosystem/feathers-sequelize/commit/0b7beaa773dc313fdb27edd9ee8115064d7cf114 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-29823 · Nota de Segurança
• https://csirt.divd.nl/CVE-2022-29823 · Nota
• https://osv.dev/vulnerability/GHSA-p5m3-27vh-52j4 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-29823 · Aviso do Fabricante
• https://csirt.divd.nl/cases/DIVD-2022-00020 · Nota
• https://csirt.divd.nl/cves/CVE-2022-29823 · Nota
• https://csirt.divd.nl/DIVD-2022-00020 · Nota