PT-2025-21607 · Npm · Lockfile-Lint-Api

Xavier Bruni · Publicado 2025-05-16 · Atualizado 2025-06-03 · CVE-2025-4759

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas: lockfile-lint-api versões anteriores à 5.9.2

Descrição: O problema envolve uma ordem de comportamento incorreta, especificamente validação prematura, através do atributo resolved na validação da URL do pacote. Isso pode ser contornado mediante a extensão do nome do pacote, permitindo que um atacante instale outros pacotes npm diferentes do pretendido.

Recomendações: Para versões anteriores à 5.9.2, atualize para a versão 5.9.2 ou posterior para resolver o problema. Como medida de contorno temporária, considere restringir as instalações de pacotes apenas àqueles que são explicitamente pretendidos, para minimizar o risco de exploração.

Exploit

Correção

Enumeração de Fraquezas

CWE-179

Identificadores relacionados

CVE-2025-4759

GHSA-7CFR-5CJF-32P4

Produtos afetados

Lockfile-Lint-Api

Referências · 16

• 🔥 https://gist.github.com/Xavier59/881aef04940970dc3e738dcbff64151f · Exploit
• https://github.com/lirantal/lockfile-lint/commit/9e5305bd3e4f0c6acc0d23ec43eac2bd5303b4ca · Correção
• https://github.com/lirantal/lockfile-lint/pull/204 · Correção
• https://github.com/lirantal/lockfile-lint · Nota
• https://github.com/lirantal/lockfile-lint/blob/89b5cad028df4d77bab2b73ac93bc61e392668ab/packages/lockfile-lint-api/src/validators/ValidatePackageNames.js%23L51-L63 · Nota
• https://github.com/lirantal/lockfile-lint/blob/89b5cad028df4d77bab2b73ac93bc61e392668ab/packages/lockfile-lint-api/src/validators/ValidatePackageNames.js#L51-L63 · Nota
• https://osv.dev/vulnerability/GHSA-7cfr-5cjf-32p4 · Aviso do Fabricante
• https://t.me/cvenotify/122482 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-4759 · Aviso do Fabricante
• https://twitter.com/dailycve/status/1929958154948796875 · Publicação no Twitter
• https://twitter.com/cracbot/status/1925144602841080281 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1923600427523678232 · Publicação no Twitter
• https://t.me/cvetracker/23990 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-4759 · Nota de Segurança
• https://t.me/latest_high_impact_cve/2379 · Publicação no Telegram