CVE-2024-21511

Krytyczne

Opublikowano: 23/04/2024(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Wersje pakietu mysql2 przed 3.9.7 są podatne na wstrzykiwanie dowolnego kodu z powodu niewłaściwego oczyszczania parametru strefy czasowej w funkcji readCodeFor, która wywołuje natywną funkcję daty/czasu serwera MySQL.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu na serwerze, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa systemu i danych.

Rekomendacja

Zaleca się aktualizację pakietu mysql2 do wersji 3.9.7 lub nowszej, aby usunąć tę podatność.

Oryginalny opis (angielski, źródło NVD)

Versions of the package mysql2 before 3.9.7 are vulnerable to Arbitrary Code Injection due to improper sanitization of the timezone parameter in the readCodeFor function by calling a native MySQL Server date/time function.