A OS Command Injection vulnerability exists in Node.js versions <14.21.1, <16.18.1, <18.12.1, <19.0.1 due to an insufficient IsAllowedHost c

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• nodejs node.js14.0.0 и новее · до 14.14.0 включительно
• nodejs node.js14.15.0 и новее · до 14.21.1
• nodejs node.js16.0.0 и новее · до 16.12.0 включительно
• nodejs node.js16.13.0 и новее · до 16.18.1
• nodejs node.js18.0.0 и новее · до 18.11.0 включительно
• nodejs node.js18.12.0
• nodejs node.js19.0.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (hackerone). Не зависят от анализа CPE в NVD и обычно опережают его.

• NodeJS Node

  • 4.0 и новее · до 4.*затронута · semver
  • 5.0 и новее · до 5.*затронута · semver
  • 6.0 и новее · до 6.*затронута · semver
  • 7.0 и новее · до 7.*затронута · semver
  • 8.0 и новее · до 8.*затронута · semver
  • 9.0 и новее · до 9.*затронута · semver
  • 10.0 и новее · до 10.*затронута · semver
  • 11.0 и новее · до 11.*затронута · semver
  • 12.0 и новее · до 12.*затронута · semver
  • 13.0 и новее · до 13.*затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2019-15605HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payload delivery when transfer-encoding is malformed
  56В плане
• CVE-2021-22883Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to a denial of service attack when too many connection attempts with an
  53В плане
• CVE-2021-22930Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to a use after free attack where an attacker might be able to exploit the memory c
  50В плане

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2022-3222314 июл. 2022 г. · Node.js is vulnerable to Hijack Execution Flow: DLL Hijacking under certain conditions on Windows platforms.This vulnerability can be exploi
  30Наблюдать
• ← РаньшеCVE-2022-352555 дек. 2022 г. · A weak randomness in WebCrypto keygen vulnerability exists in Node.js 18 due to a change with EntropySource() in SecretKeyGenTraits::DoKeyGe
  37Наблюдать
• Позже →CVE-2023-2393616 февр. 2023 г. · CRLF Injection in Nodejs ‘undici’ via host
  21Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const host = req.body.host;2exec("ping -c 1 " + host, onResult);

1const host = req.body.host;2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.