CVE-2022-46155

Airtable.js, Airtable üçün JavaScript klientidir. Versiya 0.11.6-ya qədər Airtable.js-in mənbə paketində yanlış konfiqurasiya edilmiş build skripti mövcud idi. Build skripti işlədildikdə, mühit dəyişənləri transplyasiya olunmuş paketin build hədəfinə daxil edilirdi. Xüsusilə, Airtable.js kodunda istinad edildiyi üçün Browserify build-ləri zamanı AIRTABLE_API_KEY və AIRTABLE_ENDPOINT_URL mühit dəyişənləri yerləşdirilir. Bu, yalnız mənbədən qurulmuş Airtable.js nüsxələrinə təsir edir, npm və ya yarn vasitəsilə quraşdırılanlara deyil. Əgər aşağıdakı şərtlərin hamısı ödənirsə, istifadəçilərin mühitlərində AIRTABLE_API_KEY mühit dəyişəni vasitəsilə təyin edilmiş Airtable API açarları Airtable.js mənbə kodunun lokal nüsxələrinə daxil edilə bilər: 1) istifadəçi Airtable.js mənbəsini öz kompüterinə klonlayıbsa, 2) istifadəçi `npm prepare` skriptini işlədirsə və 3) istifadəçinin AIRTABLE_API_KEY mühit dəyişəni təyin edilibsə. Bu şərtlər ödənildikdə, istifadəçinin Airtable.js lokal build-i AIRTABLE_API_KEY mühit dəyişəninin dəyərini ehtiva etmək üçün dəyişdiriləcək ki, bu da daha sonra səhvən paketlənmiş kodla birlikdə göndərilə bilər. Bu üç şərtin hamısını ödeməyən istifadəçilərə bu problem təsir etmir. İstifadəçilər Airtable.js versiyasını 0.11.6 və ya daha yüksəyə yüksəltməli və ya alternativ həll yolu kimi, öz shell-lərində AIRTABLE_API_KEY mühit dəyişənini ləğv etməli və/və ya onu .bashrc, .zshrc və ya digər shell konfiqurasiya fayllarından silməlidirlər. Açarlar paketlənmiş kodda ola bildiyi üçün istifadəçilər istifadə etdikləri bütün Airtable API açarlarını yenidən yaratmalıdırlar.