CVE-2019-5413
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 89 - wyżej niż 89% wszystkich znanych CVE
Streszczenie
Podatność w pakiecie npm morgan w wersjach przed 1.9.1 pozwala atakującemu na wstrzyknięcie dowolnych poleceń poprzez parametr format.
Ocena ryzyka
Może to prowadzić do wykonania dowolnego kodu w kontekście aplikacji, co stanowi poważne zagrożenie dla bezpieczeństwa serwera.
Rekomendacja
Zaktualizuj pakiet morgan do wersji 1.9.1 lub nowszej.
Inne podatności w morgan
Zobacz wszystkie- CVE-2026-87859Średnie
morgan to oprogramowanie pośredniczące do logowania żądań HTTP dla Node.js. W wersjach przed 1.12.1 funkcja escapeLogField() nie escapuje znaku podwójnego cudzysłowu, który ogranicza pola w formacie Apache combined log. Nieuwierzytelniony zdalny atakujący kontrolujący wartość zapisywaną w polu ujętym w cudzysłowy, taką jak nagłówek User-Agent lub Referer, może użyć cudzysłowu, aby przedwcześnie zamknąć pole, przez co konsument logów parsujący je pozycyjnie odczyta tekst dostarczony przez atakującego jako kolejne pole.
- CVE-2026-15603Średnie
Morgan, middleware do logowania żądań HTTP dla Node.js, w wersjach przed 1.12.0 nie neutralizował znaków separatora linii Unicode U+0085, U+2028 i U+2029 w wartościach tokenów logów. Zdalny klient może umieścić te znaki w kontrolowanym tokenie, np. w nazwie użytkownika Basic auth, co powoduje, że proces logowania rozdziela pojedynczy wpis na wiele rekordów. Jest to problem fałszowania logów (CWE-117) i niekompletna poprawka CVE-2026-5078. Problem naprawiono w wersji 1.12.0.
- CVE-2026-5078Średnie
Morgan, popularne oprogramowanie pośredniczące do logowania w Node.js, ma podatność na fałszowanie logów. Token :remote-user wypisuje nazwę użytkownika Basic Auth bez neutralizowania znaków kontrolnych, co pozwala atakującemu wstrzyknąć fałszywe linie do logów.
Oryginalny opis (angielski, źródło NVD)
An attacker can use the format parameter to inject arbitrary commands in the npm package morgan < 1.9.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS