CVE-2026-107700

KrytyczneCVSS 9.8

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Streszczenie

Biblioteka dot-access w wersjach 0.0.3 do 1.0.0 zawiera podatność na wstrzyknięcie kodu JavaScript. Ścieżka przekazywana do metody get() jest konkatenowana do ciała nowej funkcji w index.js, co pozwala atakującemu na dostęp do constructor.constructor i załadowanie child_process w celu wykonania poleceń systemu operacyjnego w procesie Node.js.

Ocena ryzyka

Zdalny atakujący może wykonać dowolny kod JavaScript, co może prowadzić do pełnego przejęcia procesu Node.js, kradzieży danych lub dalszych ataków na infrastrukturę.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji biblioteki lub unikanie przekazywania niesprawdzonych ścieżek do metody get(). Należy również walidować dane wejściowe.

Inne podatności w dot-access

CVE-2026-107701Wysokie
Podatność na zanieczyszczenie prototypu (prototype pollution) w bibliotece dot-access do wersji 1.0.0. Atakujący kontrolujący ścieżkę (np. przez nazwy pól od użytkownika) może użyć segmentów __proto__, aby wstrzyknąć właściwości do wszystkich obiektów.

Oryginalny opis (angielski, źródło NVD)

dot-access 0.0.3 through 1.0.0 contains a code injection vulnerability that allows remote attackers to execute JavaScript by supplying crafted paths to get(). The path is concatenated into a new Function body in index.js, so attackers can reach constructor.constructor to load child_process and run operating system commands in the Node.js process.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS