CVE-2021-23358: Arbitrary Code Injection
Оценка Noroxi
Приоритет: Наблюдать (оценка срочности 29/100)
- Есть публичный код proof-of-concept (GitHub); записей об эксплуатации в реальных атаках нет.
- Вероятность эксплуатации в ближайшие 30 дней: 4,2% (FIRST EPSS); выше, чем у 90,9% записей.
- Может быть вызвана любым, у кого есть доступ через интернет. Требуются права администратора. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- Исправленная версия: underscore (Debian:10) 1.9.1~dfsg-1+deb10u1; underscore (Debian:12) 1.9.1~dfsg-2; underscore (Debian:9) 1.8.3~dfsg-1+deb9u1.
- Критичность спорная: CNA оценивает в 3.3, NVD — в 7.2.
- Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 4.
Пока низкий приоритет. Обновитесь до underscore (Debian:10) 1.9.1~dfsg-1+deb10u1; underscore (Debian:12) 1.9.1~dfsg-2; underscore (Debian:9) 1.8.3~dfsg-1+deb9u1 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
The package underscore from 1.13.0-0 and before 1.13.0-2, from 1.3.2 and before 1.12.1 are vulnerable to Arbitrary Code Injection via the template function, particularly when a variable property is passed as an argument as it is not sanitized.
- Опубликовано
- 29 мар. 2021 г.
- Обновлено
- 16 июн. 2026 г.
- EPSS
- 4,2 % · 90-й процентиль
- CWE
- CWE-94
Инструменты для отчёта
Оценка срочности
29
Наблюдать
Пока низкий приоритет.
- CVSS
- 28 / 40 · 7.2 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 1 / 30 · 4,2 %
Решение CISA SSVC
- Эксплуатация
- proof of concept
- Автоматизируемо
- нет
- Техническое влияние
- полное
Vulnrichment: входные данные дерева решений CISA.
Оценка CNA и NVD
- NVD
- 7,2
- CNA · snyk
- 3,3
- разница 3,9 балла
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:N/E:P/RL:O/RC:C
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Есть PoC, боевого модуля нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| underscorejs | underscore | cpe:2.3:a:underscorejs:underscore |
| debian | debian linux | cpe:2.3:o:debian:debian_linux |
| tenable | tenable.sc | cpe:2.3:a:tenable:tenable.sc |
| fedoraproject | fedora | cpe:2.3:o:fedoraproject:fedora |
Затрагивает ли уязвимость Underscore.js на вашем сайте?
Бесплатная проверка JavaScript-библиотек читает версию Underscore.js из файлов, которые загружает сайт, сопоставляет эту запись и другие известные уязвимости и называет безопасную версию в той же ветке. Если версию прочитать нельзя, так и пишет. Аккаунт не нужен.
Проверить JavaScript-библиотекиЗатронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- debian debian linux10.0
- debian debian linux9.0
- fedoraproject fedora33
- fedoraproject fedora34
- tenable tenable.scдо 5.18.0 включительно
- underscorejs underscore1.13.0-0 и новее · до 1.13.0-2
- underscorejs underscore1.3.2 и новее · до 1.12.1
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (snyk). Не зависят от анализа CPE в NVD и обычно опережают его.
n/a underscore
- 1.13.0-0 и новее · до unspecifiedзатронута
- unspecified и новее · до 1.13.0-2затронута
- 1.3.2 и новее · до unspecifiedзатронута
- unspecified и новее · до 1.12.1затронута
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Debian:10 | underscore | до 1.9.1~dfsg-1+deb10u1 | 1.9.1~dfsg-1+deb10u1 |
| Debian:12 | underscore | до 1.9.1~dfsg-2 | 1.9.1~dfsg-2 |
| Debian:9 | underscore | до 1.8.3~dfsg-1+deb9u1 | 1.8.3~dfsg-1+deb9u1 |
| npm | underscore | с 1.3.2 · до 1.12.1 | 1.12.1 |
| openSUSE:Leap 15.2 | nodejs-underscore | до 1.13.1-lp152.4.3.1 | 1.13.1-lp152.4.3.1 |
| openSUSE:Tumbleweed | nodejs-underscore | до 1.13.1-1.3 | 1.13.1-1.3 |
| Red Hat:ceph_storage:7.1::el8 | ceph | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-base | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-base-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-common | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-common-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-debugsource | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-exporter-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-fuse | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-fuse-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-immutable-object-cache | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-immutable-object-cache-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-mds-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-mgr-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-mib | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-mon-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-osd-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
| Red Hat:ceph_storage:7.1::el8 | ceph-radosgw-debuginfo | до 2:18.2.1-381.el8cp | 2:18.2.1-381.el8cp |
+96
Тот же продукт
underscorejs: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2026-27601Underscore.js has unlimited recursion in _.flatten and _.isEqual, potential for DoS attack32Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| debian:underscore | 1.9.1~dfsg-2 · Debian:12 | Реестр пакетов (OSV) |
| npm:underscore | 1.12.1 | Реестр пакетов (OSV) |
| opensuse:nodejs-underscore | 1.13.1-lp152.4.3.1 · openSUSE:Leap 15.2 | Реестр пакетов (OSV) |
| red hat:ovirt-engine | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-backend | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-dbscripts | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-health-check-bundler | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-restapi | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-setup | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-setup-base | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-setup-plugin-cinderlib | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-setup-plugin-imageio | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-setup-plugin-ovirt-engine | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-setup-plugin-ovirt-engine-common | 0:4.5.2.4-0.1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-ui-extensions | 0:1.2.7-1.el8ev · Red Hat:rhev_manager:4.4:el8 | Реестр пакетов (OSV) |
Статус эксплойта
Есть proof of concept
Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.
Доказательство
- Репозиторий PoC на GitHub ×2
Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.
| Источник | Тип | Дата |
|---|---|---|
| Репозиторий PoC на GitHub | stars:1 | 2023-02-25 |
| Репозиторий PoC на GitHub | stars:1 | 2024-07-04 |
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Публикация
- Первый PoC+698 дн.
- Сегодня29 окт. 2026 г.+2040 дн.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
Ночной расчёт связей ничего не нашёл.
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-21-1001 · 16 дек. 2021 г.(IBM Güvenlik Bildirimi)
- TR-21-0989 · 13 дек. 2021 г.(IBM Güvenlik Bildirimi)
- TR-21-0785 · 29 сент. 2021 г.(IBM Güvenlik Bülteni)
- TR-21-0557 · 7 июл. 2021 г.(IBM Güvenlik Bülteni Yayınladı)
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Требуются права администратора.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- высокое · данные или конфигурация могут быть изменены
- Доступность
- высокое · работа сервиса может быть нарушена
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Высокие
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Высокое
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
CWE-94 · Improper Control of Generation of Code ('Code Injection')Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Шаблоны атак (CAPEC)
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 13)Свернуть
- lists.apache.org/thread.html/r5df90c46f7000c4aab246e947f62361ecfb849c5a553dcdb0ef545e1%40%3Cissues.cordova.apache.org%3E
- lists.apache.org/thread.html/r770f910653772317b117ab4472b0a32c266ee4abbafda28b8a6f9306%40%3Cissues.cordova.apache.org%3E
- lists.apache.org/thread.html/raae088abdfa4fbd84e1d19d7a7ffe52bf8e426b83e6599ea9a734dba%40%3Cissues.cordova.apache.org%3E
- lists.apache.org/thread.html/rbc84926bacd377503a3f5c37b923c1931f9d343754488d94e6f08039%40%3Cissues.cordova.apache.org%3E
- lists.apache.org/thread.html/re69ee408b3983b43e9c4a82a9a17cbbf8681bb91a4b61b46f365aeaf%40%3Cissues.cordova.apache.org%3E
- lists.debian.org/debian-lts-announce/2021/03/msg00038.html
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/EOKATXXETD2PF3OR36Q5PD2VSVAR6J5Z/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/FGEE7U4Z655A2MK5EW4UQQZ7B64XJWBV/
- www.debian.org/security/2021/dsa-4883
- www.tenable.com/security/tns-2021-14
- seclists.org/fulldisclosure/2025/Apr/14
- security.netapp.com/advisory/ntap-20240808-0003/
- security.netapp.com/advisory/ntap-20241108-0002/
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.