CVE-2022-31179
Açıklama
Shescape, JavaScript için basit bir shell escape paketidir. 1.5.8 öncesindeki sürümlerin Windows üzerinde kod enjeksiyonuna açık olduğu tespit edilmiştir. Bu durum, Windows'ta cmd.exe için argümanları kaçırmak amacıyla Shescape (herhangi bir API fonksiyonu) kullanan kullanıcıları etkilemektedir. Bir saldırgan, yükte (payload) satır besleme karakteri (`'\n'`) ekleyerek kendi girdisinden sonra gelen tüm argümanların yok sayılmasını sağlayabilir. Bu hata, şu an yükseltebileceğiniz [v1.5.8] sürümünde düzeltilmiştir. Başka herhangi bir değişiklik gerekmemektedir. Alternatif olarak, satır besleme karakterleri (`'\n'`) manuel olarak temizlenebilir veya kullanıcı girdisi son argüman haline getirilebilir (bu yalnızca etkiyi sınırlandırır).
Nasıl düzeltilir
- shescape_project shescape1.5.8 ya da sonraki bir sürüm
- shescape1.5.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shescape_project shescape | v < 1.5.8 | 1.5.8 |
| shescapenpm | v < 1.5.8 | 1.5.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.