CVE-2023-38704
Açıklama
import-in-the-middle, özellikle ESM modülleri için bir modül yükleme önleyicisidir. import-in-the-middle yükleyici, anlık olarak bir sarmalayıcı modül oluşturarak çalışır. Sarmalayıcı, orijinal modülü yüklemek ve bazı sarmalama kodları eklemek için modül belirleyicisini kullanır. Versiyon 1.4.2 öncesinde, bir uygulamanın kullanıcı tarafından sağlanan girdiyi doğrudan `import()` fonksiyonuna ilettiği durumlarda uzaktan kod çalıştırmaya izin verir. Bu güvenlik açığı, import-in-the-middle versiyon 1.4.2'de giderilmiştir. Bazı geçici çözümler mevcuttur. `import()` fonksiyonuna kullanıcı tarafından sağlanan hiçbir girdiyi iletmeyin; bunun yerine, girdiyi izin verilen değerler kümesine göre doğrulayın. Eğer import-in-the-middle doğrudan veya dolaylı olarak kullanılıyorsa ve EcmaScript Modülleri desteğine ihtiyaç duyulmuyorsa, komut satırı veya `NODE_OPTIONS` ortam değişkeni aracılığıyla yükleyici kancalarını (loader hooks) etkinleştirecek hiçbir seçeneğin ayarlanmadığından emin olun.
Nasıl düzeltilir
- datadoghq import-in-the-middle1.4.2 ya da sonraki bir sürüm
- import-in-the-middle1.4.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| datadoghq import-in-the-middle | v < 1.4.2 | 1.4.2 |
| import-in-the-middlenpm | v < 1.4.2 | 1.4.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.