PT-2022-27772 · Airtable · Airtable.Js
Davidmally-At
·
Publicado
2022-11-29
·
Atualizado
2023-07-07
·
CVE-2022-46155
CVSS v3.1
7.6
Alta
| Vetor | AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Airtable.js anteriores à 0.11.6
Descrição
O problema decorre de um script de compilação mal configurado no pacote-fonte do Airtable.js, que inclui variáveis de ambiente no destino de compilação de um pacote transpilado. Especificamente, as variáveis de ambiente
AIRTABLE API KEY e AIRTABLE ENDPOINT URL são inseridas durante as compilações do Browserify por serem referenciadas no código do Airtable.js. Isso afeta cópias do Airtable.js compiladas a partir de seu código-fonte, não aquelas instaladas via npm ou yarn. Se um usuário tiver clonado o código-fonte do Airtable.js, executado o script npm prepare e tiver a variável de ambiente AIRTABLE API KEY definida, sua compilação local do Airtable.js poderá ser modificada para incluir o valor da variável de ambiente AIRTABLE API KEY, que poderia então ser acidentalmente incluída no código empacotado.Recomendações
Para resolver o problema, atualize para a versão 0.11.6 ou superior do Airtable.js.
Como solução alternativa, desative a variável de ambiente
AIRTABLE API KEY no seu shell e/ou remova-a do seu .bashrc, .zshrc ou de outros arquivos de configuração do shell.Regenerar todas as chaves da API do Airtable que você usa, pois elas podem estar presentes no código empacotado.
Exploit
Correção
Insufficiently Protected Credentials
Cleartext Storage of Sensitive Information
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Airtable.Js