9.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
The use of `Module._load()` can bypass the policy mechanism and require modules outside of the policy.json definition for a given module. This vulnerability affects all users using the experimental policy mechanism in all active release lines: 16.x, 18.x and, 20.x. Please note that at the time this CVE was issued, the policy is an experimental feature of Node.js.
Засегнати продукти
- NodeJS Node: 4.0 преди 4.*; 5.0 преди 5.*; 6.0 преди 6.*; 7.0 преди 7.*; 8.0 преди 8.*; 9.0 преди 9.*; 10.0 преди 10.*; 11.0 преди 11.*; 12.0 преди 12.*; 13.0 преди 13.*; 14.0 преди 14.*; 15.0 преди 15.*; 16.0 преди 16.20.2; 17.0 преди 17.*; 18.0 преди 18.17.1; 19.0 преди 19.*; 20.0 преди 20.5.1
- nodejs nodejs: до 16.20.1; до 18.17.0; до 20.5.0
Вид слабост
История
- 21 август 2023 Публикувано