CVE-2020-28360

Kritik

Açıklama

private-ip npm paketinin v1.0.5 ve altı sürümlerindeki yetersiz RegEx, ayrılmış IP aralıklarını yeterince filtrelemeyerek belirsiz bir SSRF'ye yol açmaktadır. Bir saldırgan, ARIN tarafından ayrılmış IP aralıklarına geniş kapsamlı istekler gönderebilir; bu durum, uzaktan saldırganların çeşitli SSRF teknikleri aracılığıyla sunucu tarafındaki kaynakları talep etmesine veya potansiyel olarak rastgele kod çalıştırmasına olanak tanıyan, belirlenemeyen sayıda kritik saldırı vektörüyle sonuçlanabilir.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

ÜrünPrivate-ip

Yayın23 Kas 2020

İlk görülme23 Kas 2020

Nasıl düzeltilir

Güncelleyin

private-ip2.0.0 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
private-ip_project private-ip	v ≤ 1.0.5	—
private-ipnpm	v < 2.0.0	2.0.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.