CVE-2023-38695
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
Cypress-image-snapshot przed wersją 8.0.2 pozwalał użytkownikom na przekazywanie względnych ścieżek plików dla nazw zrzutów, co umożliwiało dostęp do plików poza katalogiem projektu na maszynie uruchamiającej testy.
Ocena ryzyka
Możliwość dostępu do plików systemowych może prowadzić do ujawnienia wrażliwych danych lub manipulacji systemem, co stanowi poważne zagrożenie dla bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji 8.0.2 lub nowszej, aby zlikwidować tę podatność.
Oryginalny opis (angielski, źródło NVD)
cypress-image-snapshot shows visual regressions in Cypress with jest-image-snapshot. Prior to version 8.0.2, it's possible for a user to pass a relative file path for the snapshot name and reach outside of the project directory into the machine running the test. This issue has been patched in version 8.0.2.