PT-2025-5603 · Dotenv+1 · Dotenv+1

Arkark · Publicado 2025-02-03 · Atualizado 2025-02-04 · CVE-2025-24959

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.2

Média

Vetor base

AV:A/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas: Versões do zx anteriores a 8.3.2

Descrição: Um atacante com controle sobre os valores das variáveis de ambiente pode injetar variáveis de ambiente não intencionais em process.env. Isso pode levar à execução arbitrária de comandos ou a comportamento inesperado em aplicações que dependem de variáveis de ambiente para operações sensíveis à segurança. Aplicações que processam entrada não confiável e a passam por dotenv.stringify são particularmente vulneráveis.

Recomendações: Para versões anteriores a 8.3.2, atualize para a versão 8.3.2 para mitigar a vulnerabilidade. Se a atualização não for viável, faça a sanitização dos valores das variáveis de ambiente controlados pelo usuário antes de passá-los para dotenv.stringify. Especificamente, evite usar , , e backticks nos valores, ou imponha validação estrita das variáveis de ambiente antes do uso.

Exploit

Correção

Special Elements Injection

Code Injection

Enumeração de Fraquezas

CWE-74

CWE-94

Identificadores relacionados

CVE-2025-24959

GHSA-QWP8-X4FF-5H87

Produtos afetados

Dotenv

Zx

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/24xxx/CVE-2025-24959.json · Exploit
• https://github.com/google/zx/security/advisories/GHSA-qwp8-x4ff-5h87 · Nota
• https://github.com/google/zx/pull/1094 · Nota
• https://github.com/google/zx · Nota
• https://github.com/google/zx/commit/5ba714d14ecf0555a74d4db96622840ac19839c5 · Nota
• https://github.com/webpod/envapi/blob/v0.2.1/src/main/ts/envapi.ts#L74-L77 · Nota
• https://ubuntu.com/security/CVE-2025-24959 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-24959 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qwp8-x4ff-5h87 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-24959 · Nota de Segurança
• https://t.me/cvedetector/17138 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-24959 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1886523327533212148 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2025-24959 · Nota de Segurança