CVE-2022-21190
Açıklama
Bu, convict paketinin 6.2.3 öncesi sürümlerini etkiler. Bu, [CVE-2022-22143](https://security.snyk.io/vuln/SNYK-JS-CONVICT-2340604) için bir atlatmadır. Sunulan [düzeltme](https://github.com/mozilla/node-convict/commit/3b86be087d8f14681a9c889d45da7fe3ad9cd880), startsWith yöntemine dayanır ve güvenlik açığını engellemez: yolu bölmeden önce, yolun __proto__ veya this.constructor.prototype ile başlayıp başlamadığını kontrol eder. Bu kontrolü atlatmak için tehlikeli yolların önüne herhangi bir dize değeri ve ardından bir nokta eklemek mümkündür, örneğin foo.__proto__ veya foo.this.constructor.prototype gibi.
Nasıl düzeltilir
- mozilla convict6.2.3 ya da sonraki bir sürüm
- convict6.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mozilla convict | v < 6.2.3 | 6.2.3 |
| convictnpm | v < 6.2.3 | 6.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.