PT-2024-18954 · Unknown · Dom-Iterator

Nodemedic-Fine + 1 · Publicado 2024-11-13 · Atualizado 2025-01-14 · CVE-2024-21541

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do dom-iterator anteriores à 1.0.1

Descrição

O problema está relacionado à execução arbitrária de código devido ao uso do construtor Function sem uma sanitização completa da entrada. Isso permite que um invasor gere um novo corpo de função, representando riscos semelhantes aos de permitir que entradas controladas pelo invasor cheguem à função eval.

Recomendações

Para versões anteriores à 1.0.1, atualize para a versão 1.0.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso do construtor Function para minimizar o risco de exploração.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-21541

GHSA-JRVM-MCXC-MF6M

Produtos afetados

Dom-Iterator

Referências · 12

• 🔥 https://security.snyk.io/vuln/SNYK-JS-DOMITERATOR-6157199 · Exploit
• https://github.com/matthewmueller/dom-iterator · Nota
• https://github.com/matthewmueller/dom-iterator/commit/9e0e0fad5a251de5b42feb326c4204eb04080805 · Nota
• https://twitter.com/VulmonFeeds/status/1856604644568641866 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-21541 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1856694178308333787 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-21541 · Nota de Segurança
• https://t.me/cvedetector/10803 · Publicação no Telegram
• https://security.snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-8383166 · Nota
• https://t.me/cvenotify/102157 · Publicação no Telegram
• https://t.me/cvenotify/101503 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-jrvm-mcxc-mf6m · Aviso do Fabricante