CVE-2024-39173
CriticalSummary
W wersji 1.0 calculator-boilerplate odkryto podatność na zdalne wykonanie kodu (RCE) poprzez funkcję eval w pliku /routes/calculator.js. Atakujący mogą wykonać dowolny kod, wprowadzając odpowiednio przygotowany ładunek do pola wejściowego.
Risk Assessment
Podatność ta stwarza poważne ryzyko dla organizacji, umożliwiając atakującym zdalne wykonywanie kodu, co może prowadzić do przejęcia kontroli nad systemem. Może to skutkować utratą danych lub naruszeniem bezpieczeństwa.
Recommendation
Zaleca się natychmiastowe zaktualizowanie calculator-boilerplate do najnowszej wersji, która usuwa tę podatność. Dodatkowo, warto przeprowadzić audyt kodu w celu identyfikacji i eliminacji podobnych luk.
Original NVD description (English source)
calculator-boilerplate v1.0 was discovered to contain a remote code execution (RCE) vulnerability via the eval function at /routes/calculator.js. This vulnerability allows attackers to execute arbitrary code via a crafted payload injected into the input field.