CVE-2024-39173
KrytyczneStreszczenie
W wersji 1.0 calculator-boilerplate odkryto podatność na zdalne wykonanie kodu (RCE) poprzez funkcję eval w pliku /routes/calculator.js. Atakujący mogą wykonać dowolny kod, wprowadzając odpowiednio przygotowany ładunek do pola wejściowego.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, umożliwiając atakującym zdalne wykonywanie kodu, co może prowadzić do przejęcia kontroli nad systemem. Może to skutkować utratą danych lub naruszeniem bezpieczeństwa.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie calculator-boilerplate do najnowszej wersji, która usuwa tę podatność. Dodatkowo, warto przeprowadzić audyt kodu w celu identyfikacji i eliminacji podobnych luk.
Oryginalny opis (angielski, źródło NVD)
calculator-boilerplate v1.0 was discovered to contain a remote code execution (RCE) vulnerability via the eval function at /routes/calculator.js. This vulnerability allows attackers to execute arbitrary code via a crafted payload injected into the input field.