CVE-2020-15123
Açıklama
codecov (npm paketi) 3.7.1 sürümünden önceki sürümlerde, upload yöntemi bir komut enjeksiyonu zafiyetine sahiptir. codecov-node kütüphanesini kullanan istemcilerin bundan haberdar olma olasılığı düşüktür, bu nedenle farkında olmadan zafiyet içeren kodlar yazabilirler. Benzer bir CVE (GHSA-5q88-cjfq-g2mh için CVE-2020-7597) yayınlanmış ancak düzeltme eksik kalmıştır. Sadece & karakteri engellenmiş olup, temizleyiciyi (sanitizer) atlatmak için ters tırnakların kullanılmasıyla komut enjeksiyonu hala mümkündür. Bu durumda saldırı yüzeyi düşüktür; özellikle modülün doğrudan bir derleme hattında (build pipeline) kullanıldığı standart codecov kullanımında, kötü niyetli girdi sağlayabilecek ve komut enjeksiyonu gerçekleştirebilecek başka bir uygulamada kütüphane olarak kullanılmadığı durumlarda risk daha azdır.
Nasıl düzeltilir
- codecov codecov3.7.1 ya da sonraki bir sürüm
- codecov3.7.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| codecov codecov | v < 3.7.1 | 3.7.1 |
| codecovnpm | v < 3.7.1 | 3.7.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.