PT-2026-40543 · Esm Dev+1 · Esm.Sh+1
Donttrytofindme
·
Publicado
2026-05-12
·
Atualizado
2026-05-28
·
CVE-2026-44594
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
esm.sh versões 137 e anteriores
Description
Um problema de Inclusão de Arquivo Local (LFI) existe no processamento do campo
browser dentro do arquivo package.json pelo plugin esbuild. Um invasor pode publicar um pacote npm malicioso que utiliza sequências ../ no campo browser para remapear caminhos de módulos. Como o plugin não realiza uma segunda verificação de validação após esse remapeamento, o servidor pode ser forçado a ler e retornar arquivos arbitrários do sistema de arquivos do host durante o processo de build. Esses arquivos podem aparecer na saída do JavaScript empacotado ou na matriz sourcesContent do mapa de origem. O impacto inclui a exposição potencial de arquivos sensíveis, como o arquivo config.json, que pode conter credenciais de armazenamento S3 e tokens de autenticação do registro npm.Recommendations
Atualize para uma versão posterior à 137.
Como mitigação temporária, restrinja o uso do campo
browser no package.json para pacotes npm não confiáveis.Exploit
Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Esm.Sh
Github.Com/Esm-Dev/Esm.Sh