CVE-2019-16777
WysokieCVSS 7.7Streszczenie
Narzędzie npm CLI w wersjach przed 6.13.4 jest podatne na Arbitrary File Overwrite. Nie zapobiega nadpisaniu istniejących globalnie zainstalowanych binariów przez inne instalacje pakietów, nawet przy użyciu opcji --ignore-scripts.
Ocena ryzyka
Może to pozwolić atakującemu na nadpisanie zaufanych plików wykonywalnych i wykonanie złośliwego kodu. Ryzyko dotyczy środowisk programistycznych używających npm.
Rekomendacja
Zaktualizuj npm CLI do wersji 6.13.4 lub nowszej. Unikaj instalacji globalnych z niezaufanych źródeł.
Inne podatności w npm CLI
Zobacz wszystkie- CVE-2020-15095Średnie
Wersje npm CLI przed 6.14.6 są podatne na ujawnienie informacji poprzez pliki logów. CLI obsługuje adresy URL w formacie zawierającym dane uwierzytelniające, a wartość hasła nie jest maskowana i jest wypisywana na standardowe wyjście oraz do generowanych plików logów.
- CVE-2019-16776Wysokie
Wersje npm CLI przed 6.13.3 są podatne na zapis dowolnych plików. Poprzez pole bin w pliku package.json wydawca pakietu może uzyskać dostęp do folderów poza katalogiem node_modules i modyfikować dowolne pliki w systemie użytkownika podczas instalacji pakietu. Podatność omija opcję instalacji --ignore-scripts.
- CVE-2019-16775Wysokie
Wersje npm CLI przed 6.13.3 są podatne na zapis dowolnych plików. Pakiety mogą tworzyć dowiązania symboliczne do plików poza katalogiem node_modules poprzez pole bin w package.json podczas instalacji, omijając opcję --ignore-scripts.
- CVE-2016-3956Wysokie
Narzędzie CLI w npm przed 2.15.1 i 3.x przed 3.8.3, używane w Node.js 0.10 przed 0.10.44, 0.12 przed 0.12.13, 4 przed 4.4.2 i 5 przed 5.10.0, dołącza tokeny bearer do dowolnych żądań. Pozwala to zdalnym serwerom HTTP na uzyskanie poufnych informacji poprzez odczyt nagłówków Authorization.
- CVE-2026-0775Wysokie
Podatność w npm cli umożliwia lokalnemu atakującemu eskalację uprawnień poprzez nieprawidłowe przypisanie uprawnień do modułów. Aplikacja ładuje moduły z niezabezpieczonej lokalizacji, co pozwala na wykonanie kodu w kontekście docelowego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Versions of the npm CLI prior to 6.13.4 are vulnerable to an Arbitrary File Overwrite. It fails to prevent existing globally-installed binaries to be overwritten by other package installations. For example, if a package was installed globally and created a serve binary, any subsequent installs of packages that also create a serve binary would overwrite the previous serve binary. This behavior is still allowed in local installations and also through install scripts. This vulnerability bypasses a user using the --ignore-scripts install option.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS