CVE-2022-29078
Kritik
Açıklama
Node.js için ejs (diğer adıyla Embedded JavaScript templates) paketinin 3.1.6 sürümü, settings[view options][outputFunctionName] kısmında sunucu taraflı şablon enjeksiyonuna (server-side template injection) izin vermektedir. Bu kısım dahili bir seçenek olarak ayrıştırılmakta ve outputFunctionName seçeneğini rastgele bir işletim sistemi komutuyla (şablon derlemesi sırasında yürütülür) geçersiz kılmaktadır.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünEjs
Yayın25 Nis 2022
İlk görülme25 Nis 2022
Nasıl düzeltilir
Güncelleyin
- ejs3.1.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ejs ejs | 3.1.6 | — |
| ejsnpm | v < 3.1.7 | 3.1.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.