PT-2024-18948 · Unknown · Jsonpath-Plus
Andrea Angelo Raineri
·
Publicado
2024-10-10
·
Atualizado
2026-02-23
·
CVE-2024-21534
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do jsonpath-plus anteriores à 10.0.7
Descrição
O problema está relacionado à execução remota de código (RCE) devido à sanitização inadequada de entradas, permitindo que um invasor execute código arbitrário no sistema ao explorar o uso padrão inseguro do vm no Node. Houve tentativas de corrigi-lo nas versões 10.0.0-10.1.0, mas ele ainda pode ser explorado usando diferentes cargas.
Recomendações
Para versões do jsonpath-plus anteriores à 10.0.7, atualize para a versão 10.0.7 ou posterior para resolver o problema. Como solução temporária, considere desativar o uso do vm no Node até que um patch esteja disponível. Restrinja o acesso ao pacote vulnerável para minimizar o risco de exploração. Evite usar o pacote vulnerável em ambientes de produção até que o problema seja resolvido.
Exploit
Correção
RCE
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jsonpath-Plus