CVE-2025-59037
Təsvir
DuckDB prosesdaxili analitik SQL verilənlər bazası idarəetmə sistemidir. 08 sentyabr 2025-ci ildə npm-də Node.js üçün DuckDB distribusiyası zərərli proqramla kompromisə uğradı (bir neçə digər paketlə birlikdə). Hücumçu DuckDB-nin dörd paketinin kriptovalyuta əməliyyatlarına müdaxilə etmək üçün zərərli kod ehtiva edən yeni versiyalarını dərc etdi*. npm statistikasına görə, bu paketlər köhnəlmiş (deprecated) elan edilməzdən əvvəl heç kim tərəfindən yüklənməyib. `@duckdb/[email protected]`, `@duckdb/[email protected]`, `[email protected]` və `@duckdb/[email protected]` paketləri və versiyaları təsirlənib. DuckDB dərhal konkret versiyaları köhnəlmiş elan etdi, təsirlənmiş versiyaların silinməsi üçün npm dəstəyi ilə əlaqə saxladı və node paketlərini daha yüksək versiya nömrələri ilə (1.3.4/1.30.0) yenidən dərc etdi. İstifadəçilər özlərini qorumaq üçün 1.3.4, 1.30.0 və ya daha yüksək versiyaya yüksəldə bilərlər. Alternativ olaraq, 1.3.2 və ya 1.29.1 versiyasına endirə (downgrade) bilərlər.
Necə düzəltmək olar
- duckdb1.3.4 və ya daha yeni versiya
- @duckdb/node-api1.3.4-alpha.27 və ya daha yeni versiya
- @duckdb/node-bindings1.3.4-alpha.27 və ya daha yeni versiya
- @duckdb/duckdb-wasm1.30.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| duckdbnpm | 1.3.3 ≤ v < 1.3.4 | 1.3.4 |
| @duckdb/node-apinpm | 1.3.3 ≤ v < 1.3.4-alpha.27 | 1.3.4-alpha.27 |
| @duckdb/node-bindingsnpm | 1.3.3 ≤ v < 1.3.4-alpha.27 | 1.3.4-alpha.27 |
| @duckdb/duckdb-wasmnpm | 1.29.2 ≤ v < 1.30.0 | 1.30.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.