Thumler до 1.1.2 позволяет внедрять команды ОС через параметр ввода, вывода, времени или размера в функции миниатюры(), поскольку пользовательский ввод объединяется в командную строку оболочки, передаваемую в child_process.exec() без надлежащей очистки или экранирования.
Показать оригинальное описание (EN)
thumbler through 1.1.2 allows OS command injection via the input, output, time, or size parameter in the thumbnail() function because user input is concatenated into a shell command string passed to child_process.exec() without proper sanitization or escaping.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Mmahrous Thumbler
cpe:2.3:a:mmahrous:thumbler:*:*:*:*:*:node.js:*:*
|
— |
<= 1.1.2
|