Threat Investigation
Tanıtım talep edin

CVE-2025-65025

Yüksek

Açıklama

esm.sh, modern web geliştirme için bir nobuild içerik dağıtım ağıdır (CDN). Versiyon 136 öncesinde, esm.sh CDN servisi, NPM paket tarball ayıklama işlemi sırasında dizin gezginliği (path traversal) zafiyetine sahiptir. Bir saldırgan, özel olarak hazırlanmış dosya yolları içeren kötü amaçlı bir NPM paketi oluşturabilir (örneğin, package/../../tmp/evil.js). esm.sh bu paketi indirip ayıkladığında, dosyalar hedeflenen ayıklama dizininin dışına çıkarak sunucuda rastgele konumlara yazılabilir. Bu sorun versiyon 136 ile düzeltilmiştir.

ÖnemYüksek
CVSS8.2
İstismar olasılığı—
ÜrünEsm.sh
Yayın19 Kas 2025
İlk görülme19 Kas 2025
Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin
  • esm esm.sh136 ya da sonraki bir sürüm
  • github.com/esm-dev/esm.sh0.0.0-20251117232647-9d77b88c3207 ya da sonraki bir sürüm

Etkilenen ürünler

ÜrünEtkilenen sürümlerDüzeltildiği sürüm
esm esm.shv < 136136
github.com/esm-dev/esm.shGov < 0.0.0-20251117232647-9d77b88c32070.0.0-20251117232647-9d77b88c3207

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.