CVE-2024-36361

ŚrednieCVSS 6.8

Opublikowano: 24/05/2024(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Streszczenie

Pug w wersjach do 3.0.2 włącznie pozwala na wykonanie kodu JavaScript, jeśli aplikacja przyjmuje niezaufane dane wejściowe dla opcji name w funkcjach compileClient, compileFileClient lub compileClientWithDependenciesTracked. Funkcje te służą do kompilacji szablonów Pug do JavaScript i zazwyczaj nie ma powodu, aby zezwalać na niezaufanych wywołujących.

Ocena ryzyka

Jeśli aplikacja przekazuje niezaufane dane do opcji name, atakujący może wykonać dowolny kod JavaScript w kontekście serwera lub przeglądarki, co może prowadzić do przejęcia aplikacji.

Rekomendacja

Zaktualizuj Pug do wersji nowszej niż 3.0.2, jeśli zawiera poprawkę. Unikaj przekazywania niezaufanych danych do opcji name w wymienionych funkcjach.

Inne podatności w Pug

CVE-2021-21353Średnie
Pug to silnik szablonów dla Node.js. W wersjach przed 3.0.1, jeśli atakujący zdalny mógł kontrolować opcję `pretty` kompilatora Pug (np. poprzez wstrzyknięcie obiektu użytkownika do danych wejściowych szablonu), możliwe było zdalne wykonanie kodu na backendzie Node.js. Podatność naprawiono w wersji 3.0.1, a dla pakietu pug-code-gen w wersji 2.0.3.

Oryginalny opis (angielski, źródło NVD)

Pug through 3.0.2 allows JavaScript code execution if an application accepts untrusted input for the name option of the compileClient, compileFileClient, or compileClientWithDependenciesTracked function. NOTE: these functions are for compiling Pug templates into JavaScript, and there would typically be no reason to allow untrusted callers.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS