PT-2024-4417 · Ejs+3 · Ejs+3
CVE-2024-33883
·
Publicado
2024-04-28
·
Atualizado
2024-08-09
CVSS v2.0
10
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do ejs anteriores à 3.1.10
Descrição
O problema está relacionado à falta de certas proteções contra poluição no pacote ejs, o que pode ser explorado para executar código arbitrário por meio da injeção de código JavaScript especialmente criado. Isso pode ser feito por um invasor remoto através da saída do mecanismo de modelos. O número estimado de dispositivos potencialmente afetados não foi especificado.
Recomendações
Para versões anteriores à 3.1.10, atualize o pacote ejs para a versão 3.1.10 ou posterior para mitigar o problema. Como solução temporária, considere restringir o uso do mecanismo de modelos ejs até que um patch seja aplicado. Evite usar o pacote ejs para renderizar entradas não confiáveis até que o problema seja resolvido.
Exploit
Correção
DoS
Protection Mechanism Failure
Special Elements Injection
Prototype Pollution
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Astra Linux
Debian
Red Os
Ejs