CVE-2026-112942
Təsvir
launch-editor istifadəçilərə faylları sətir nömrələri ilə birlikdə redaktorda Node.js vasitəsilə açmağa imkan verir. 2.14.2 versiyasından əvvəl launch-editor-middleware hücumçu tərəfindən idarə olunan və valideyn kataloq komponenti ilə bitib üzərində sətir və sütun suffiksi olan Windows fayl arqumentini emal edir: yol suffiks hələ mövcud olduğu halda həll edilir və launch-editor existsSync yoxlamasından əvvəl suffiksi silir. Bu, existsSync üçün mövcud valideyn kataloqunu saxlayır və zərərli fayl adının mövcud tələb olunmadan, hücumçu tərəfindən idarə olunan fayl arqumentinin fayl adının mövcudluğu validasiyasından keçməsinə şərait yaradır. Bu yan keçmə, ayrıca təsvir edilmiş Windows faiz genişlənməsi (percent-expansion) qüsuru ilə birləşdirildikdə ƏMƏLİ sistemində əmr inyeksiyasına səbəb ola bilər. Bu problem 2.14.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- launch-editor2.14.2 və ya daha yeni versiya
- vite8.3.3, 8.2.4, 8.1.6, 7.3.7, 6.4.4 və ya daha yeni versiya
- vite-plus1.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| launch-editornpm | v < 2.14.2 | 2.14.2 |
| vitenpm | 8.3.0 ≤ v < 8.3.3, 8.2.0 ≤ v < 8.2.4, 8.0.0 ≤ v < 8.1.6, 7.0.0 ≤ v < 7.3.7, v < 6.4.4 | 8.3.3, 8.2.4, 8.1.6, 7.3.7, 6.4.4 |
| vite-plusnpm | v < 1.1.0 | 1.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.