CVE-2021-21297
Yüksek
Açıklama
Node-Red, nodejs kullanılarak oluşturulmuş olay güdümlü uygulamalar için düşük kodlu bir programlamadır. Node-RED 1.2.7 ve önceki sürümler, admin API'sinde bir Prototype Pollution zafiyeti içermektedir. Hatalı biçimlendirilmiş bir istek, varsayılan JavaScript Nesnesinin prototipini değiştirerek Node-RED çalışma zamanının varsayılan davranışını etkileme potansiyeline sahiptir. Zafiyet 1.2.8 sürümünde giderilmiştir. Geçici çözüm olarak, editör URL'sine yalnızca yetkili kullanıcıların erişebildiğinden emin olunmalıdır.
ÖnemYüksek
CVSS7.7
İstismar olasılığı—
ÜrünNodered Node-red
Yayın26 Şub 2021
İlk görülme26 Şub 2021
Zayıflık türüCWE-1321Prototip kirletmeCWE-915CWE-915
Nasıl düzeltilir
Güncelleyin
- nodered node-red1.2.8 ya da sonraki bir sürüm
- @node-red/runtime1.2.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodered node-red | v < 1.2.8 | 1.2.8 |
| @node-red/runtimenpm | v < 1.2.8 | 1.2.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.