CVE-2020-15123
Təsvir
codecov (npm paketi)-nin 3.7.1 versiyasından əvvəlki versiyalarında yükləmə metodunda komanda inyeksiyası zəifliyi mövcuddur. codecov-node kitabxanasının istifadəçilərinin bundan xəbərdar olması ehtimalı azdır, buna görə də onlar bilmədən zəiflik ehtiva edən kod yaza bilərlər. Oxşar bir CVE (GHSA-5q88-cjfq-g2mh üçün CVE-2020-7597) təyin edilmişdi, lakin düzəliş natamam idi. O, yalnız & simvolunu bloklamışdı və təmizləyicini (sanitizer) yan keçmək üçün geri dırnaqlardan (backticks) istifadə etməklə komanda inyeksiyası hələ də mümkündür. Bu halda hücum səthi aşağıdır. Xüsusilə codecov-un standart istifadəsində, modul birbaşa qurma konveyerində (build pipeline) istifadə edildikdə, bədniyyətli giriş təmin edə və komanda inyeksiyasını həyata keçirə biləcək digər tətbiqdə kitabxana kimi qurulmadıqda bu risk daha azdır.
Necə düzəltmək olar
- codecov codecov3.7.1 və ya daha yeni versiya
- codecov3.7.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| codecov codecov | v < 3.7.1 | 3.7.1 |
| codecovnpm | v < 3.7.1 | 3.7.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.